Veille sécuritéFrontend
P4Moyenne
Sur macOS, une configuration d’Electron avec le fuse RunAsNode activé permet à un attaquant disposant déjà d’une capacité d’exécution de code locale d’exécuter du code dans le contexte de JupyterLab Desktop. Cela peut permettre d’accéder à des fichiers protégés par macOS sans nouvelle invite, si l’application a déjà reçu les autorisations TCC correspondantes.
Electron
IdentifiantCVE-2025-55002
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifJupyterLab Desktop 4.6.2-1
Source : NVD — CVE-2025-55002
Analyse technique
L’exploitation requiert une exécution de code locale préexistante et des autorisations TCC déjà accordées à l’application. Windows et Linux ne sont pas concernés.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06 à 21:17:04Z, soit le 2026-11-06 à 23:17:04+02:00, dans la période demandée. L’avis GitHub décrit le défaut et la version corrective.
ImpactAccès possible à des données dans des dossiers macOS protégés, sous réserve d’une exécution de code locale préalable et d’autorisations TCC déjà accordées.
Versions affectéesJupyterLab Desktop pour macOS jusqu’à la version 4.2.5-1 incluse, selon l’avis GitHub; versions corrigées à partir de 4.6.2-1.
Version corrigéeJupyterLab Desktop 4.6.2-1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.5 · CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Publication2026-11-06T23:17:04+02:00
Mise à jour2026-11-06T23:17:04+02:00
Action recommandée
Mettre à jour JupyterLab Desktop vers la version 4.6.2-1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).