CVE-2026-102831

Nome do Software Vulnerável e Versões Afetadas JupyterLab versões 4.5.0 até 4.5.10 JupyterLab versões 4.6.0 até 4.6.3 Notebook versões 7.5.0 até 7.6.2 JupyterLite Core versões 0.7.0 até 0.8.3

Description O caminho de colagem de células da área de transferência do sistema aceita JSON de célula controlado por um invasor sem limpar o atributo metadata.trusted. Quando a configuração useSystemClipboardForCells está ativa e pasteCodeCellsWithoutOutput está desativada, uma célula de código colada pode marcar a saída HTML como confiável. Isso permite ignorar a sanitização de saída e executar scripts na origem autenticada do JupyterLab sem a necessidade de executar a célula. Células de Markdown e brutas não são afetadas, pois sua saída é sanitizada.

Recommendations Atualize o JupyterLab para a versão 4.5.11 ou 4.6.4. Atualize o Notebook para a versão 7.6.3. Atualize o JupyterLite Core para a versão 0.8.4.