Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Jupyter Notebook 7.0.0 及之前7.5.5的 JupyterLab 版本和较早版本4.5.6，以及相应的 @jupyter-notebook/help-extension 和 @jupyterlab/help-extension 程序包7.5.64.5.7中，帮助命令链接器中存储的跨站脚本问题可与攻击者控制的笔记本内容链接，以通过单击窃取认证标记。攻击者可构建恶意笔记本文件，其中包含看起来与合法控件无法区分的元素，并在用户与这些控件交互时触发执行。若成功利用此漏洞，即可通过 REST API 窃取用户的身份验证令牌并完全接管 Jupyter 会话，包括读取文件、创建或修改文件、访问内核以执行任意代码，以及创建用于 shell 访问的终端。此问题已在 Notebook 7.5.6、JupyterLab 4.5.7、@jupyter-notebook/help-extension 7.5.6和 @jupyterlab/help-extension 4.5.7中修复。变通方案是，禁用受影响的帮助扩展或在审查器配置中将 allowCommandLinker 设置为 false。（CVE-2026-40171）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-40171

high Nessus 插件 ID 313260

版本 1.5