---

📌 अवलोकन

CVE-2026-39987 marimo — Python के लिए एक लोकप्रिय ओपन-सोर्स रिएक्टिव नोटबुक (आधुनिक Jupyter विकल्प) की एक गंभीर pre-auth RCE भेद्यता है।

• प्रभावित संस्करण: सभी संस्करण < 0.23.0 (आधिकारिक रूप से पुष्टि)
• CVSS स्कोर: 9.3 (गंभीर)
• प्रकार: /terminal/ws WebSocket एंडपॉइंट पर प्रमाणीकरण का अभाव
• प्रभाव: बिना प्रमाणीकरण वाले हमलावर पूर्ण इंटरैक्टिव PTY शेल खोल सकते थे और सर्वर पर मनमाने कमांड निष्पादित कर सकते थे।

सार्वजनिक खुलासे के ~10 घंटे के भीतर शोषण जंगल में देखा गया — किसी सार्वजनिक शोषण कोड की आवश्यकता नहीं थी।

---

🛠️ तकनीकी विवरण

/terminal/ws एंडपॉइंट केवल रनिंग मोड और प्लेटफ़ॉर्म समर्थन की जाँच करता था।
अन्य एंडपॉइंट्स (जैसे /ws) के विपरीत, यह validate_auth() को पूरी तरह से छोड़ देता था।

इससे कोई भी बिना प्रमाणीकरण वाला उपयोगकर्ता जो marimo सर्वर तक पहुँच सकता था, निम्न कार्य कर सकता था:

• पूर्ण टर्मिनल शेल खोलना
• फ़ाइल सिस्टम का पता लगाना
• क्रेडेंशियल चुराना
• मनमाने सिस्टम कमांड निष्पादित करना

---

📷 स्क्रीनशॉट

---

✅ इसमें ठीक किया गया

marimo 0.23.0 (अप्रैल 2026 में जारी)

पैच: टर्मिनल WebSocket एंडपॉइंट में उचित प्रमाणीकरण सत्यापन जोड़ा गया।

pip install --upgrade "marimo>=0.23.0"

आधिकारिक सलाह:
GHSA-2679-6mx9-h9xc

पैच कमिट:
marimo-team/marimo@c24d480

---

🚨 अनुशंसाएँ

• तुरंत marimo ≥ 0.23.0 में अपग्रेड करें
• marimo चलाते समय मजबूत प्रमाणीकरण सक्षम करें
• जब तक आवश्यक न हो, marimo को सीधे इंटरनेट पर उजागर करने से बचें
• नेटवर्क सेगमेंटेशन, प्रमाणीकरण के साथ रिवर्स प्रॉक्सी, या कंटेनर अलगाव का उपयोग करें
• pip-audit, Dependabot, या OSV जैसे टूल से अपने वातावरण को स्कैन करें

---

📊 समयरेखा

• खुलासा: 9 अप्रैल, 2026
• पहला शोषण: खुलासे के ~9–10 घंटे बाद
• फिक्स जारी: अप्रैल 2026 (v0.23.0)

---

🔗 संदर्भ

• NVD - CVE-2026-39987
• marimo GitHub Security Advisory
• The Hacker News Coverage
• Sysdig Threat Research

---