무슨 일이 있었나
2026-10-13 게시(CVSS 4.2, CWE-367/863), GitHub 권고를 통해. NVD REST API를 통해 확인됨.
왜 중요한가
노트북 신뢰는 신뢰할 수 없는 AI/ML 노트북 셀이 실행될 수 있는지 결정하는 경계임; 신뢰 오귀속 경합 조건은 주요 데이터 과학 실행 환경 내에서 그 결정을 약화시킴.
공격 경로
신뢰 명령-링크 핸들러가 클릭된 문서를 유지하는 대신 tracker.currentWidget을 해석함; 사용자가 프롬프트가 열려 있는 동안 문서를 전환하고 신뢰를 선택하면 두 번째 문서가 신뢰 표시되고(모든 셀 신뢰, 저장되지 않은 편집 내용 저장, 서버 서명 유지), 이후 명령 버튼이 프롬프트 없이 실행됨.
영향받는 시스템
JupyterLab 4.5.7–4.5.11 / 4.6.0–4.6.4; notebook 7.5.6–7.6.3; jupyterlite-core 0.7.5–0.8.4
완화 방안
GHSA-jwrc-gm9j-263p에 따라 JupyterLab을 4.5.11 / 4.6.4로 업그레이드(영향받는 Notebook/JupyterLite 빌드 포함).