CVE-2026-86044

Nome do Software Vulnerável e Versões Afetadas JupyterLab Desktop versões anteriores a 4.6.2-1

Descrição O JupyterLab Desktop expunha a função getServerInfo ao renderizador sem confirmar se a página atual ainda possuía a origem do servidor local do Jupyter. Em sessões gerenciadas localmente usando JupyterLab em versões anteriores a 4.4.8, um invasor pode inserir um link MathJax manipulado em um notebook não confiável. Se a vítima abrir o notebook e clicar no link, o renderizador navega para um site controlado pelo invasor enquanto mantém o acesso à ponte de pré-carregamento (preload bridge). O site pode chamar getServerInfo para obter a URL do servidor local e o token de autenticação, utilizando então a API REST do Jupyter para criar e confiar em um notebook que executa código arbitrário na máquina da vítima.

Recomendações Atualize o JupyterLab Desktop para a versão 4.6.2-1.