PT-2026-3268 · Unknown · Dask.Distributed+2

Jacobtomlinson · Publicado 2026-01-01 · Atualizado 2026-03-12 · CVE-2026-23528

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Dask distributed anteriores à 2026.1.0

Descrição Quando o Jupyter Lab, o jupyter-server-proxy e o Dask distributed são usados juntos, uma URL forjada pode levar à execução de código pelo Jupyter devido a uma vulnerabilidade de cross-site scripting (XSS) no painel do Dask. Um atacante poderia criar uma URL de phishing presumindo que o Jupyter Lab e o Dask estejam em execução em localhost com portas padrão. Clicar neste link abre uma página de erro no Painel do Dask através do proxy do Jupyter Lab, causando execução de código pelo kernel Python padrão do Jupyter. A vulnerabilidade ocorre quando uma URL maliciosa é usada para executar JavaScript no navegador do usuário dentro do painel do Dask.

Recomendações Versões anteriores à 2026.1.0 devem ser atualizadas para a versão 2026.1.0 ou posterior. Como mitigação, desinstale o jupyter-server-proxy e acesse o painel do Dask diretamente via sua URL. Como mitigação, certifique-se de que tanto o Jupyter quanto o painel do Dask estejam sendo executados em portas não padrão.

Exploit

Correção

RCE

XSS

Enumeração de Fraquezas

CWE-250

CWE-79

CWE-80

Identificadores relacionados

CVE-2026-23528

GHSA-C336-7962-WFJ2

PYSEC-2026-169

Produtos afetados

Dask.Distributed

Jupyterlab

Jupyter Server Proxy

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/23xxx/CVE-2026-23528.json · Exploit
• https://github.com/dask/distributed/security/advisories/GHSA-c336-7962-wfj2 · Aviso do Fabricante
• https://github.com/dask/distributed/commit/ab72092a8a938923c2bb51a2cd14ca26614827fa · Correção
• https://github.com/dask/distributed · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/distributed/PYSEC-2026-169.yaml · Nota
• https://twitter.com/CVEnew/status/2012303239555989737 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-23528 · Nota de Segurança
• https://t.me/cveNotify/155334 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2026-169 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-23528 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-23528 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-23528 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-23528 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-23528 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2012230571653509280 · Publicação no Twitter