Wysoka

JupyterHub OAuthenticator elevation of privilege

Ujawniono: 18.02.2018
Aktualizacja: 11.10.2026 12:18

An issue was discovered in Project Jupyter JupyterHub OAuthenticator 0.6.x before 0.6.2 and 0.7.x before 0.7.3. When using JupyterHub with GitLab group whitelisting for access control, group membership was not checked correctly, allowing members not in the whitelisted groups to create accounts on the Hub. (Users were not allowed to access other users' accounts, but could create their own accounts on the Hub linked to their GitLab account. GitLab authentication not using gitlab_group_whitelist is unaffected. No other Authenticators are affected.)

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	oauthenticator	>= 0.6, < 0.6.2, >= 0.7, < 0.7.3	0.6.2, 0.7.3

Odnośniki

Ocena CVSS 8.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): -
Platforma: Python (PyPI)
Paczka: oauthenticator
Ujawniono: 18.02.2018
Aktualizacja: 11.10.2026 12:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2018-68 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8x3m-m3x9-54fj - CC BY 4.0

Historia podatności: oauthenticator

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 02.2018 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 5
Średnia 1

Ujawnienia w latach

2018: 1
2019: 0
2020: 1
2021: 0
2022: 1
2023: 0
2024: 2
2025: 0
2026: 1

03.04.2026

Auth0OAuthenticator has an Authentication Bypass via Unverified Email Claims

Wysoka · 8.8 CVE-2026-33175 < 17.4.0 17.4.0
12.06.2024

Globus `identity_provider` restriction ignored when used with `allow_all` in JupyterHub 5.0

Wysoka · 8.1 CVE-2024-37300 < 16.3.1 16.3.1
20.03.2024

GoogleOAuthenticator.hosted_domain incorrectly verifies membership of an Google organization/workspace

Wysoka · 7.5 CVE-2024-29033 < 16.3.0 16.3.0
06.06.2022

OAuthenticator is an OAuth token library for the JupyerHub login handler. CILogonOAuthenticator is provided by the OAuthenticator package, and lets users log in to a JupyterHub via CILogon. This is pr

Średnia · 4.2 CVE-2022-31027 < 15.0.0 15.0.0
01.12.2020

Base class whitelist configuration ignored in OAuthenticator

Wysoka · 6.3 CVE-2020-26250 >= 0.12.0, < 0.12.2 0.12.2
18.02.2018

JupyterHub OAuthenticator elevation of privilege ten wpis

Wysoka · 8.8 CVE-2018-7206 >= 0.6, < 0.6.2, >= 0.7, < 0.7.3 0.6.2, 0.7.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację