⚠️ CVE-2026-39987 — قشرة بدون مصادقة في marimo (< 0.23.0)

أداة دفتر ملاحظات بايثون تفاعلية منحت المهاجمين قشرة كاملة في طلب WebSocket واحد.

📌 نظرة عامة

CVE-2026-39987 هي ثغرة RCE حرجة قبل المصادقة في marimo — وهو دفتر ملاحظات تفاعلي مفتوح المصدر شهير للغة Python (بديل حديث لـ Jupyter).

• الإصدارات المتأثرة: جميع الإصدارات < 0.23.0 (مؤكدة رسميًا)
• درجة CVSS: 9.3 (حرجة)
• النوع: غياب المصادقة على نقطة نهاية WebSocket الخاصة بـ /terminal/ws
• الأثر: تمكن المهاجمون غير المصادق عليهم من فتح قشرة PTY تفاعلية كاملة وتنفيذ أوامر عشوائية على الخادم.

لوحظ استغلال الثغرة في البرية خلال ~10 ساعات من الإفصاح العلني — دون الحاجة إلى كود استغلال عام.

🛠️ التفاصيل الفنية

كانت نقطة النهاية /terminal/ws تتحقق فقط من وضع التشغيل ودعم المنصة.
وعلى عكس نقاط النهاية الأخرى (مثل /ws)، كانت تتخطى validate_auth() تمامًا.

وهذا ما سمح لأي مستخدم غير مصادق عليه يمكنه الوصول إلى خادم marimo بـ:

• إنشاء قشرة طرفية كاملة
• استكشاف نظام الملفات
• سرقة بيانات الاعتماد
• تنفيذ أوامر نظام عشوائية

📷 لقطة شاشة

✅ تم الإصلاح في

marimo 0.23.0 (صدر في أبريل 2026)

التصحيح: أُضيف التحقق السليم من المصادقة إلى نقطة نهاية WebSocket الخاصة بالمحطة الطرفية.

pip install --upgrade "marimo>=0.23.0"

الاستشارة الأمنية الرسمية:
GHSA-2679-6mx9-h9xc

التزام التصحيح:
marimo-team/marimo@c24d480

🚨 التوصيات

• قم بالترقية فورًا إلى marimo ≥ 0.23.0
• فعّل مصادقة قوية عند تشغيل marimo
• تجنب تعريض marimo مباشرةً للإنترنت إلا عند الضرورة
• استخدم تجزئة الشبكة، أو بروكسيات عكسية مع مصادقة، أو عزل الحاويات
• افحص بيئاتك باستخدام أدوات مثل pip-audit أو Dependabot أو OSV

📊 الجدول الزمني

• الإفصاح: 9 أبريل 2026
• أول استغلال: بعد ~9–10 ساعات من الإفصاح
• إصدار التصحيح: أبريل 2026 (v0.23.0)

🔗 المراجع

• NVD - CVE-2026-39987
• استشارة أمان marimo على GitHub
• تغطية The Hacker News
• أبحاث التهديدات من Sysdig