GitHub 安全公告库 (GHSA)·· 3 小时前精选AI 评分58
nbconvert <= 7.17.1 导出 md/latex/rst/asciidoc 时存在路径穿越任意文件写入漏洞
nbconvert: Arbitrary file write through path traversal in cell output filenames when exporting to md, latex, rst and asciidoc
AI 导读
GitHub 安全公告指出 nbconvert <= 7.17.1 在导出为 markdown、latex、rst、asciidoc 时存在任意文件写入漏洞，ExtractOutputPreprocessor 在 extractoutput.py:116-119 将攻击者可控的 path 直接拼接到 output_files_dir 且未做规范化校验。
为什么值得看
公告给出可复现的 ipynb 片段，说明恶意 cell 输出文件名如何穿越目录写入任意位置，便于验证与排查。
来源：GitHub 安全公告库 (GHSA) · github.com