Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Jupyter Notebookのバージョン7.0.07.5.5、JupyterLabのバージョン4.5.6以前、対応する@jupyter-notebook/help-extensionパッケージと7.5.64.5.7より前の@jupyterlab/help-extensionパッケージでは、ヘルプコマンドリンカーにあるストアドクロスサイトスクリプティングの問題が、攻撃者が制御するNotebookのコンテンツと連鎖して、ワンクリックで認証トークンを盗む可能性があります。攻撃者が、正当なコントロールと区別がつかないように見える要素を含む悪意のあるノートブックファイルを作成し、ユーザーが操作したときに実行をトリガーする可能性があります。悪用に成功すると、ユーザーの認証トークンが盗まれ、REST APIを介してJupyterセッションが完全に乗っ取られる可能性があります。これには、ファイルの読み取り、ファイルの作成または変更、カーネルへのアクセスによる任意のコードの実行、シェルアクセス用のターミナルの作成が含まれます。この問題は、Notebook 7.5.6、JupyterLab 4.5.7、@jupyter-notebook/help-extension 7.5.6、@jupyterlab/help-extension 4.5.7で修正されています。回避策として、影響を受けるヘルプ拡張を無効にするか、サニタイザー構成で allowCommandLinker を false に設定します。(CVE-2026-40171)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-40171

high Nessus プラグイン ID 313260

バージョン 1.5