Zaloguj się
Deutsch English Español Polski
Średnia

JupyterHub has cross-origin form POSTs bypass XSRF (CWE-352)

  • Ujawniono: 05.05.2026
  • Aktualizacja: 11.10.2026 15:17

Summary

JupyterHub's XSRF protection (updated in 4.1.0) inappropriately treated requests with Sec-Fetch-Mode: no-cors as same-origin requests, which they are not, bypassing XSRF checks. The JSON API is not affected, only HTTP form endpoints, such as /hub/spawn and /hub/accept-share, meaning attackers could trigger server spawn (but not access the server) and if the attacker is a JupyterHub user permitted to share access to their server, cause a user to accept a share and have access to the attacker's server.

Patches

Upgrade to JupyterHub 5.4.5.

Mitigations

If a reverse proxy is in use, drop requests to JupyterHub with Sec-Fetch-Mode: no-cors.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) jupyterhub >= 4.1.0, < 5.4.5 5.4.5

Odnośniki

Ocena CVSS 5.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L
Słabość (CWE)
CWE-352
Platforma
Python (PyPI)
Paczka
jupyterhub
Ujawniono
05.05.2026
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-2189 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-m68r-v472-jgq9 - CC BY 4.0

Historia podatności: jupyterhub

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
8
Pierwsza → ostatnia
04.2019 08.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 2
  • Średnia 6

Ujawnienia w latach

  1. JupyterHub has Unauthenticated Denial of Service via Unbounded Username Logging on Failed Login
    Średnia · 5.3 CVE-2026-54338 < 5.5.0 5.5.0
  2. JupyterHub has cross-origin form POSTs bypass XSRF (CWE-352) ten wpis
    Średnia · 5.4 CVE-2026-40864 >= 4.1.0, < 5.4.5 5.4.5
  3. JupyterHub is software that allows one to create a multi-user server for Jupyter notebooks. Prior to version 5.4.4, an open redirect vulnerability in JupyterHub allows attackers to construct links whi
    Średnia · 6.1 CVE-2026-33709 < 5.4.4 5.4.4
  4. JupyterHub has a privilege escalation vulnerability with the `admin:users` scope
    Wysoka · 7.2 CVE-2024-41942 < 4.1.6, >= 5.0.0, < 5.1.0 4.1.6, 5.1.0
  5. Cross site scripting (XSS) in JupyterHub via Self-XSS leveraged by Cookie Tossing
    Wysoka · 8.1 CVE-2024-28233 < 4.1.0 4.1.0
  6. incomplete JupyterHub logout with simultaneous JupyterLab sessions
    Średnia · 3.5 CVE-2021-41247 >= 1.0.0, < 1.5.0 1.5.0
  7. Cross-Site Request Forgery in JupyterHub
    Średnia · 4.5 CVE-2020-36191 < 1.2.0b1 1.2.0b1
  8. Open Redirect vulnerability in jupyterhub and notebook
    Średnia · 6.1 CVE-2019-10255 < 0.9.6 0.9.6

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.