JVNDB-2026-017843

Project JupyterのJupyterLab等の複数製品におけるクロスサイトスクリプティングの脆弱性

jupyterlabは、Jupyter Notebookアーキテクチャに基づく、インタラクティブで再現可能な計算のための拡張可能な環境です。4.5.7未満のバージョンでは、JupyterLabのHTMLサニタイザはbutton要素に対してdata-commandlinker-commandおよびdata-commandlinker-argsを許可リストに含めていますが、CommandLinkerはdocument.body上のすべてのクリックイベントを監視し、要素が信頼されたJupyterLab UIからのものであるかどうかを確認せずに指定されたコマンドを実行します。事前に保存されたHTMLセル出力に不正なボタンが含まれているノートブックは、ユーザーがコードの実行を申請しなくても、単一のクリックで任意のJupyterLabコマンド（任意のコード実行を含む）をトリガーする可能性があります。この脆弱性は4.5.7で修正されています。

Project Jupyter

• Jupyter Notebook 7.0.0 以上 7.5.6 未満
• JupyterLab 4.5.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Command linker attributes in HTML enable one-click command execution from untrusted content  Advisory  jupyterlab/jupyterlab  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-42557

1. National Vulnerability Database (NVD) : CVE-2026-42557

• [2026年06月04日]
    掲載