PT-2026-37232 · Project Jupyter · Jupyter Server

Stef41 · Publicado 2026-05-05 · Atualizado 2026-05-06 · CVE-2026-35397

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Jupyter Server versões anteriores a 2.18.0

Descrição Um problema de travessia de caminho (path traversal) na API REST permite que um usuário autenticado escape do root dir configurado e acesse diretórios irmãos que compartilham o mesmo prefixo que o root dir. Ao enviar uma solicitação manipulada para o endpoint '/api/contents' usando componentes de caminho codificados, um invasor pode ler, gravar e excluir arquivos nesses diretórios irmãos. Isso é particularmente crítico em implantações multi-tenant que utilizam esquemas de nomenclatura previsíveis; por exemplo, um usuário com um diretório chamado user1 poderia acessar diretórios chamados user10 a user19. Usuários capazes de escolher nomes de pastas com um único caractere poderiam potencialmente acessar um número maior de diretórios irmãos.

Recomendações Atualize para a versão 2.18.0. Como medida paliativa temporária, garanta que os nomes das pastas não compartilhem um prefixo comum com qualquer diretório irmão.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-35397

GHSA-5789-5FC7-67V3

OPENSUSE-SU-2026:10710-1

PYSEC-2026-68

Produtos afetados

Jupyter Server

Referências · 19

• 🔥 https://github.com/jupyter-server/jupyter_server/security/advisories/GHSA-5789-5fc7-67v3 · Exploit
• https://github.com/jupyter-server/jupyter_server · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/jupyter-server/PYSEC-2026-68.yaml · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-35397 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-35397 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5789-5fc7-67v3 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:10710-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-35397 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-40110 · Nota
• https://osv.dev/vulnerability/PYSEC-2026-68 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35397 · Nota de Segurança
• https://t.me/CVEtracker/52783 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2026-35397 · Nota de Segurança
• https://twitter.com/UpwindMDR/status/2051719825617997874 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-35397 · Aviso do Fabricante