JupyterLab Desktop : injection JavaScript pouvant mener à l’exécution de code

Veille sécuritéFrontend

P3Critique

JupyterLab Desktop avant 4.6.2-1 insère des URL de serveurs distants sans encodage sûr dans des vues rendues par l’application; une URL spécialement conçue peut conduire à l’exécution de JavaScript dans le rendu Welcome et à l’exécution de code avec les privilèges de l’utilisateur. La fiche signale aussi un chemin distinct via des titres de flux RSS mal rendus, qui nécessite le contrôle du contenu du flux ou de ses données en cache.

IdentifiantCVE-2026-102530

GravitéCritique

Exploitationnon connue / non déterminée

Correctif4.6.2-1

Source : NVD — CVE-2026-102530

Analyse technique

L’exécution de JavaScript dans le rendu Welcome peut permettre d’abuser de son pont IPC privilégié. Le vecteur RSS est distinct et suppose le contrôle du contenu livré par le flux Jupyter Blog ou de sa copie en cache.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-06T21:17:05.510Z, comprise dans la période demandée; l’item est retenu comme vulnérabilité publiée durant cette période.

ImpactExécution de code avec les privilèges de l’utilisateur via le rendu Welcome; un chemin distinct concerne le rendu des titres RSS.

Versions affectéesJupyterLab Desktop versions antérieures à 4.6.2-1; toutes les plateformes prises en charge

Version corrigée4.6.2-1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.4

Publication2026-11-06T21:17:05.510Z

Mise à jour2026-11-06T21:17:05.510Z

Action recommandée

Mettre à niveau JupyterLab Desktop vers la version 4.6.2-1 ou ultérieure.

Sources

NVD — CVE-2026-102530

Priorisation DFS : P3 · 1 source(s).