Alta

JupyterHub OAuthenticator elevation of privilege

Publicada: 18.02.2018
Actualizado: 11.10.2026 12:18

An issue was discovered in Project Jupyter JupyterHub OAuthenticator 0.6.x before 0.6.2 and 0.7.x before 0.7.3. When using JupyterHub with GitLab group whitelisting for access control, group membership was not checked correctly, allowing members not in the whitelisted groups to create accounts on the Hub. (Users were not allowed to access other users' accounts, but could create their own accounts on the Hub linked to their GitLab account. GitLab authentication not using gitlab_group_whitelist is unaffected. No other Authenticators are affected.)

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	oauthenticator	>= 0.6, < 0.6.2, >= 0.7, < 0.7.3	0.6.2, 0.7.3

Referencias

Puntuación CVSS 8.8/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE): -
Plataforma: Python (PyPI)
Paquete: oauthenticator
Publicada: 18.02.2018
Actualizado: 11.10.2026 12:18

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2018-68 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8x3m-m3x9-54fj - CC BY 4.0

Historial de vulnerabilidades: oauthenticator

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 6
Primera → última: 02.2018 04.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 5
Media 1

Divulgaciones por año

2018: 1
2019: 0
2020: 1
2021: 0
2022: 1
2023: 0
2024: 2
2025: 0
2026: 1

03.04.2026

Auth0OAuthenticator has an Authentication Bypass via Unverified Email Claims

Alta · 8.8 CVE-2026-33175 < 17.4.0 17.4.0
12.06.2024

Globus `identity_provider` restriction ignored when used with `allow_all` in JupyterHub 5.0

Alta · 8.1 CVE-2024-37300 < 16.3.1 16.3.1
20.03.2024

GoogleOAuthenticator.hosted_domain incorrectly verifies membership of an Google organization/workspace

Alta · 7.5 CVE-2024-29033 < 16.3.0 16.3.0
06.06.2022

OAuthenticator is an OAuth token library for the JupyerHub login handler. CILogonOAuthenticator is provided by the OAuthenticator package, and lets users log in to a JupyterHub via CILogon. This is pr

Media · 4.2 CVE-2022-31027 < 15.0.0 15.0.0
01.12.2020

Base class whitelist configuration ignored in OAuthenticator

Alta · 6.3 CVE-2020-26250 >= 0.12.0, < 0.12.2 0.12.2
18.02.2018

JupyterHub OAuthenticator elevation of privilege esta entrada

Alta · 8.8 CVE-2018-7206 >= 0.6, < 0.6.2, >= 0.7, < 0.7.3 0.6.2, 0.7.3

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación