CVE-2026-6657

Nome do Software Vulnerável e Versões Afetadas jupyter-server versões 1.12.0 a 2.17.0

Descrição Um problema ocorre quando a configuração allow origin pat é utilizada, permitindo que um invasor ignore a validação de origem do Cross-Origin Resource Sharing (CORS). Isso acontece porque a função re.match() é usada para validar o cabeçalho Origin, que ancora a correspondência apenas no início da string. Consequentemente, domínios controlados por invasores (ex: trusted.example.com.evil.com) podem passar na validação contra padrões destinados a trusted.example.com. Esta falha afeta cabeçalhos CORS, conexões WebSocket, validação de referer e redirecionamentos de login, o que pode levar a ataques de phishing, execução de código arbitrário e acesso não autorizado a respostas de API sensíveis.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.