CVE-2026-40864

सारांश

JupyterHub एक सॉफ्टवेयर है जो उपयोगकर्ताओं को Jupyter नोटबुक के लिए मल्टी-यूज़र सर्वर बनाने की अनुमति देता है। संस्करण 4.1.0 से 5.4.4 में, XSRF सुरक्षा (4.1.0 में अपडेट की गई) ने `Sec-Fetch-Mode: no-cors` वाले अनुरोधों को अनुचित रूप से समान-मूल (same-origin) अनुरोध मान लिया, जिससे XSRF जाँचें बायपास हो गईं। JSON API प्रभावित नहीं है, केवल HTTP फ़ॉर्म एंडपॉइंट, जैसे `/hub/spawn` और `/hub/accept-share`, प्रभावित हैं, जिसका अर्थ है कि हमलावर सर्वर स्पॉन ट्रिगर कर सकते हैं (लेकिन सर्वर तक पहुँच नहीं सकते) और यदि हमलावर एक JupyterHub उपयोगकर्ता है जिसे अपने सर्वर तक पहुँच साझा करने की अनुमति है, तो किसी उपयोगकर्ता को शेयर स्वीकार करने और हमलावर के सर्वर तक पहुँच प्राप्त करने के लिए प्रेरित कर सकते हैं। यह समस्या संस्करण 5.4.5 में ठीक कर दी गई है। यदि डेवलपर्स तुरंत अपग्रेड करने में असमर्थ हैं, तो वे रिवर्स प्रॉक्सी का उपयोग कर रहे हैं तो `Sec-Fetch-Mode: no-cors` वाले JupyterHub अनुरोधों को हटाकर अस्थायी रूप से इस समस्या को कम कर सकते हैं।

• CVE-2026-40864PoC

  Proof-of-concept for CVE-2026-40864: JupyterHub XSRF bypass via cross-origin form POST exploiting Sec-Fetch-Mode: no-cors. Includes PoC HTML, root cause analysis, and disclosure timeline.