CVE-2026-40864: JupyterHub : Les POST de formulaires cross-origin contournent XSRF | Kitploit

CVE-2026-40864

MoyenPublié

JupyterHub : Les POST de formulaires cross-origin contournent XSRF

Publié: 22 mai 2026
Mise à jour: 26 mai 2026
Attribution de CNA: GitHub_M
Preuve observée: 8 août 2026

CVSS primaire

5,4/ 10Moyen

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L

Estimation de probabilité EPSS

0,2 %

Faible · 30 prochains jours

Percentile: 5,4 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

Résumé

JupyterHub est un logiciel qui permet aux utilisateurs de créer un serveur multi-utilisateurs pour les notebooks Jupyter. Dans les versions 4.1.0 à 5.4.4, la protection XSRF (mise à jour en 4.1.0) traitait de manière inappropriée les requêtes avec `Sec-Fetch-Mode: no-cors` comme des requêtes de même origine, contournant ainsi les contrôles XSRF. L'API JSON n'est pas concernée, seuls les points de terminaison de formulaires HTTP, tels que `/hub/spawn` et `/hub/accept-share`, sont affectés, ce qui signifie que les attaquants pouvaient déclencher le lancement d'un serveur (sans toutefois y accéder) et, si l'attaquant est un utilisateur JupyterHub autorisé à partager l'accès à son serveur, amener un utilisateur à accepter un partage et à avoir accès au serveur de l'attaquant. Ce problème a été corrigé dans la version 5.4.5. Si les développeurs ne peuvent pas mettre à niveau immédiatement, ils peuvent atténuer temporairement ce problème en supprimant les requêtes vers JupyterHub avec `Sec-Fetch-Mode: no-cors` s'ils utilisent un proxy inverse.

Sources

CVE-2026-40864PoC
Proof-of-concept for CVE-2026-40864: JupyterHub XSRF bypass via cross-origin form POST exploiting Sec-Fetch-Mode: no-cors. Includes PoC HTML, root cause analysis, and disclosure timeline.

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.