CVE-2026-73627
Publiée le 2026-08-13 · Dernière modification le 2026-08-15
Les installations de JupyterLab (via le package pip `jupyterlab`) sont affectées par une faille qui permet aux utilisateurs de contourner les restrictions imposées par l'administrateur sur les plugins. Un utilisateur authentifié disposant d'un accès réseau peut effectuer des requêtes API directes pour activer ou désactiver des plugins verrouillés, contournant potentiellement le durcissement de la sécurité ou les limites de téléchargement de données. Comme cela nécessite un compte valide et des requêtes API spécifiques, il s'agit d'une action ciblée plutôt que d'une attaque automatisée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
JupyterLab (pip package 'jupyterlab') versions >=4.1.0,<=4.5.9 and >=4.6.0,<=4.6.1 contain a plugin manager lock-rule enforcement bypass. Two server-side enforcement gaps allow an authenticated user to circumvent administrator lock rules by making direct requests to the /lab/api/plugins endpoint, enabling or disabling plugins that were locked — including child plugins of multi-plugin extensions and plugins locked via the 'lock all' mechanism. This can impact data integrity and bypass hardening or restrictions (e.g., download/upload limits) implemented through locked plugins. Fixed in versions 4.6.2 and 4.5.10.