PT-2026-37241 · Project Jupyter · Jupyter Server

Emin63 · Publicado 2026-05-05 · Atualizado 2026-05-11 · CVE-2026-40934

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.6

Alta

Vetor base

AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Jupyter Server versões anteriores a 2.18.0

Descrição O segredo usado para assinar cookies de autenticação é persistido em um arquivo estático em ~/.local/share/jupyter/runtime/jupyter cookie secret e não é rotacionado quando um usuário altera sua senha. Consequentemente, após a redefinição da senha e a reinicialização do servidor, qualquer cookie de autenticação emitido anteriormente permanece criptograficamente válido. Um invasor que tenha capturado um cookie de sessão mantém acesso autenticado total ao servidor, independentemente de alterações subsequentes de senha. Isso afeta implantações que utilizam autenticação baseada em senha, particularmente servidores compartilhados ou expostos à internet, onde se espera que a rotação de credenciais revogue as sessões existentes.

Recomendações Atualize para a versão 2.18.0 ou posterior. Como solução temporária, exclua o arquivo ~/.local/share/jupyter/runtime/jupyter cookie secret e reinicie o servidor.

Exploit

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2026-40934

GHSA-5MRQ-X3X5-8V8F

OPENSUSE-SU-2026:10710-1

PYSEC-2026-69

Produtos afetados

Jupyter Server

Referências · 23

• 🔥 https://github.com/jupyter-server/jupyter_server/security/advisories/GHSA-5mrq-x3x5-8v8f · Exploit
• https://github.com/jupyter-server/jupyter_server · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/jupyter-server/PYSEC-2026-69.yaml · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2026:10710-1 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-40110 · Nota
• https://t.me/cveNotify/162521 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2026-69 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-40934 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40934 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2051897788338717069 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-40934 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-40934 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2051793807692399038 · Publicação no Twitter
• https://t.me/cveNotify/162272 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2026-35397 · Nota