p PatchFirst

CVE-2026-39377

CVE-2026-39377 · nbconvert has an Arbitrary File Write via Path Traversal in Cell Attachment Filenames

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The nbconvert tool, jupyter nbconvert, converts Jupyter notebooks to various other formats via Jinja templates. Versions 6.5 through 7.17.0 allow arbitrary file writes to locations outside the intended output directory when processing notebooks containing crafted cell attachment filenames. The `ExtractAttachmentsPreprocessor` passes attachment filenames directly to the filesystem without sanitization, enabling path traversal attacks. This vulnerability provides complete control over both the destination path and file extension. Version 7.17.1 contains a patch.

CVSS 6.5 · Mittel · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · python

Betroffene Produkte und Versionen

  • nbconvert

    Softwareversionen
    • >= 6.5, < 7.17.1: Betroffen

    Keine Korrektur veröffentlicht

  • nbconvert Debian:13

    Softwareversionen
    • 7.16.6-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 7.16.6-1+deb13u1

    Auf 7.16.6-1+deb13u1 aktualisieren

  • nbconvert Debian:14

    Softwareversionen
    • 7.16.6-1
    • 7.17.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 7.17.1-1

    Auf 7.17.1-1 aktualisieren

  • nbconvert PyPI

    Softwareversionen
    • 6.5.0
    • 6.5.1
    • 6.5.2
    • 6.5.3
    • 6.5.4
    • 7.0.0
    • 7.0.0rc0
    • 7.0.0rc1
    • 7.0.0rc2
    • 7.0.0rc3
    • 7.1.0
    • 7.10.0
    • 7.11.0
    • 7.12.0
    • 7.13.0
    • 7.13.1
    • 7.14.0
    • 7.14.1
    • 7.14.2
    • 7.15.0
    • 7.16.0
    • 7.16.1
    • 7.16.2
    • 7.16.3
    • 7.16.4
    • 7.16.5
    • 7.16.6
    • 7.17.0
    • 7.2.0
    • 7.2.1
    • 7.2.10
    • 7.2.2
    • 7.2.3
    • 7.2.4
    • 7.2.5
    • 7.2.6
    • 7.2.7
    • 7.2.8
    • 7.2.9
    • 7.3.0
    • 7.3.1
    • 7.4.0
    • 7.5.0
    • 7.6.0
    • 7.7.0
    • 7.7.1
    • 7.7.2
    • 7.7.3
    • 7.7.4
    • 7.8.0
    • 7.9.0
    • 7.9.1
    • 7.9.2
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 6.5.0, < 7.17.1

    Auf 7.17.1 aktualisieren

  • nbconvert Ubuntu:18.04:LTS

    Softwareversionen
    • 4.2.0-4
    • 5.3.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nbconvert Ubuntu:20.04:LTS

    Softwareversionen
    • 5.4-2ubuntu2
    • 5.6.0-1
    • 5.6.0-2
    • 5.6.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nbconvert Ubuntu:22.04:LTS

    Softwareversionen
    • 5.6.1-3
    • 6.1.0-1
    • 6.3.0-1
    • 6.4.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nbconvert Ubuntu:24.04:LTS

    Softwareversionen
    • 6.5.3-4
    • 6.5.3-5
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nbconvert Ubuntu:25.10

    Softwareversionen
    • 7.16.6-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nbconvert Ubuntu:26.10

    Softwareversionen
    • 7.17.0-1
    • 7.17.1-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nbconvert Ubuntu:26.04:LTS

    Softwareversionen
    • 7.16.6-1
    • 7.17.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →