Më 19 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-rv4m-xm3f-3ccq (CVE-2026-111058) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën mercury të ekosistemit PyPI.
Paketat e prekura
- mercury (PyPI) — versionet e prekura:
<= 3.2.5; versioni me rregullim:3.2.6
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-862 (Missing Authorization)
- Identifikuesit: GHSA-rv4m-xm3f-3ccq, CVE-2026-111058
Përmbledhja zyrtare
Mercury: Ekzekutim kodi në distancë pa autentikim përmes /api/kernels
Mercury ekzekuton një server JupyterLab me qasje anonime si parazgjedhje. Kur nuk jepet –token ose MERCURY_TOKEN, skedari mercury_app/main.py vendos –IdentityProvider.token=''. Në mungesë të token-it, vendos gjithashtu –ServerApp.disable_check_xsrf=True, duke çaktivizuar kontrollin XSRF.
Për t’u penguar përdoruesve anonimë qasjen në endpoint-et e rrezikshme të Jupyter, Mercury mbështetet te një listë bllokimi. Lista BLOCKED_PATTERNS në mercury_app/block_handler.py përfshin /lab, /api/terminals, /api/shutdown dhe /files.
Dobësia lidhet me /api/kernels, që nuk është në listën e bllokimit. Ky endpoint nuk mund të bllokohet, sepse Mercury ka nevojë për kernel-ët për të ekzekutuar notebook-ët. Ndërkohë, funksioni patch_kernel_websocket_handler() në mercury_app/idle_timeout.py vetëm gjurmon…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin mercury, përditësojeni sa më shpejt në versionin 3.2.6 ose më të ri.
