CVE-2026-39987 के लिए Marimo 0.20.4 PoC

⚠️ यह टूल केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए है। निर्माता किसी भी अनधिकृत या अवैध उपयोग के लिए जिम्मेदार नहीं है। अपने जोखिम पर उपयोग करें। ⚠️

जानकारी:

CVE-2026-39987 Marimo (संस्करण 0.23.0 से पहले) में एक गंभीर प्रमाणीकरण-पूर्व रिमोट कोड निष्पादन (RCE) भेद्यता है।

यह क्यों काम करता है:

/terminal/ws एंडपॉइंट बिना किसी प्रमाणीकरण के उजागर है।

अंदर: marimo/_server/api/endpoints/terminal.py

@router.websocket("/ws")
async def websocket_endpoint(websocket: WebSocket) -> None:
    app_state = AppState(websocket)
    if app_state.mode != SessionMode.EDIT:
        await websocket.close(...)
        return
    if not supports_terminal():
        await websocket.close(...)
        return
    await websocket.accept()
    # further down..
    child_pid, fd = pty.fork()

जैसा कि आप देख सकते हैं, PTY शेल बनाने से पहले कोई प्रमाणीकरण जाँच नहीं है।