CVE-2026-111057

Nome do Software Vulnerável e Versões Afetadas Mercury versões 3.0.0 até 3.2.3

Descrição Uma expressão regular malformada na lista BLOCKED PATTERNS faz com que os literais /lab e /api/terminals sejam concatenados. Isso permite que requisições ao endpoint /api/terminals ignorem a lista de bloqueio de endpoints anônimos e alcancem a API de terminal do Jupyter Server. Um invasor não autenticado pode utilizar isso para iniciar um shell interativo do sistema operacional, permitindo a execução de comandos e o acesso a dados disponíveis ao processo do Mercury.

Recomendações Atualize para a versão 3.2.4.