CVE-2026-102830

Nome do Software Vulnerável e Versões Afetadas JupyterLab versões 3.0.0 até 4.5.10 JupyterLab versões 4.6.0 até 4.6.3 JupyterLite Core versões 0.x até 0.8.3

Description Existe um problema onde o cabeçalho Plural-Forms em pacotes de idiomas de terceiros selecionados pode anexar JavaScript após uma regra plural válida. Isso ocorre porque a validação de expressão regular apenas por prefixo aceita um prefixo correspondente sem exigir que todo o cabeçalho corresponda. O JupyterLab passa a expressão aceita para a função new Function(), fazendo com que o código anexado seja executado na origem autenticada do JupyterLab ao carregar o catálogo e traduzir uma string plural. Em ambientes onde kernels, terminais e APIs do Jupyter Server estão expostos, isso pode permitir a execução de código para ler ou modificar arquivos e executar comandos via APIs autenticadas do servidor. O impacto é mais limitado no JupyterLite devido a menos superfícies de servidor expostas. O local padrão em inglês não é afetado.

Recommendations Atualize o JupyterLab para a versão 4.5.11 ou 4.6.4. Atualize o JupyterLite Core para a versão 0.8.4.