Marimo: RCE pre-autenticazione nel notebook Python (CVE-2026-39987)

Esecuzione di codice senza autenticazione nel notebook Python Marimo prima della 0.23.0, CVSS 9,8. Aggiornare alla 0.23.0.

Il 9 aprile 2026 è stata pubblicata la scheda di CVE-2026-39987, una vulnerabilità pre-autenticazione in Marimo, il notebook Python reattivo. Prima della versione 0.23.0, l'endpoint WebSocket /terminal/ws non controllava l'autenticazione come gli altri endpoint, e un attaccante non autenticato poteva ottenere una shell PTY. Il punteggio NVD è CVSS v3.1 9,8.

La vulnerabilità è nel catalogo KEV di CISA. Secondo Sysdig, lo sfruttamento è comparso in meno di dieci ore dalla divulgazione: il tempo tra pubblicazione e attacco è stato molto breve.

Aggiornare alla versione 0.23.0 o successiva. Chi usa Marimo in ambienti condivisi o in cloud deve verificare che la porta del servizio non sia raggiungibile da reti non fidate, e controllare i log del terminale per sessioni non riconosciute.

In sintesi

Cosa: Accesso a una shell PTY senza autenticazione tramite l'endpoint WebSocket /terminal/ws, che salta il controllo presente negli altri endpoint.
Gravità: CVSS v3.1 9,8 (NVD); CVSS v4.0 9,3 (GitHub).
Causa: Autenticazione mancante sull'endpoint WebSocket (CWE-306).
Correzione: Marimo 0.23.0.
Stato: Presente nel catalogo KEV di CISA. Secondo Sysdig, lo sfruttamento è comparso in meno di dieci ore dalla divulgazione.
Azione: Aggiornare alla 0.23.0. Non esporre i notebook su reti non fidate e limitare l'accesso alla porta del servizio.

Fonti: NVD, CVE-2026-39987 · GitHub, advisory GHSA-2679-6mx9-h9xc · CISA, catalogo KEV

← Tutti gli articoli