Średnia

SSRF vulnerability in jupyter-server-proxy

Ujawniono: 25.01.2022
Aktualizacja: 11.10.2026 11:20

Impact

What kind of vulnerability is it? Server-Side Request Forgery ( SSRF )

Who is impacted? Any user deploying Jupyter Server or Notebook with jupyter-proxy-server extension enabled.

A lack of input validation allowed authenticated clients to proxy requests to other hosts, bypassing the allowed_hosts check. Because authentication is required, which already grants permissions to make the same requests via kernel or terminal execution, this is considered low to moderate severity.

Patches

Has the problem been patched? What versions should users upgrade to?

Upgrade to 3.2.1, or apply the patch https://github.com/jupyterhub/jupyter-server-proxy/compare/v3.2.0...v3.2.1.patch

For more information

If you have any questions or comments about this advisory:

Open a topic on our forum
Email the Jupyter security team at security@ipython.org

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	jupyter-server-proxy	< 3.2.1	3.2.1

Odnośniki

Ocena CVSS 6.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N
Słabość (CWE): CWE-918
Platforma: Python (PyPI)
Paczka: jupyter-server-proxy
Ujawniono: 25.01.2022
Aktualizacja: 11.10.2026 11:20

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2022-16 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-gcv9-6737-pjqw - CC BY 4.0

Historia podatności: jupyter-server-proxy

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 3
Pierwsza → ostatnia: 01.2022 06.2024
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Średnia 2

Ujawnienia w latach

2022: 1
2023: 0
2024: 2
2025: 0
2026: 0

11.06.2024

Jupyter Server Proxy allows users to run arbitrary external processes alongside their notebook server and provide authenticated web access to them. Versions of 3.x prior to 3.2.4 and 4.x prior to 4.2.

Średnia · 6.1 CVE-2024-35225 >= 3.0.0, < 3.2.4, >= 4.1.2, < 4.2.0 3.2.4, 4.2.0
20.03.2024

Jupyter Server Proxy allows users to run arbitrary external processes alongside their Jupyter notebook servers and provides authenticated web access. Prior to versions 3.2.3 and 4.1.1, Jupyter Server

Krytyczna · 9.8 CVE-2024-28179 < 3.2.3, >= 4.0.0, < 4.1.1 3.2.3, 4.1.1
25.01.2022

SSRF vulnerability in jupyter-server-proxy ten wpis

Średnia · 6.3 CVE-2022-21697 < 3.2.1 3.2.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację