laremontada12/cve-2026-39987-marimo-preauth-rceCVE-2026-39987 Marimo प्री-ऑथ WebSocket RCE का स्थानीय Docker लैब में पुनरुत्पादन और मूल कारण विश्लेषण।
यह परियोजना CVE-2026-39987 पर केंद्रित है, जो Marimo में टर्मिनल WebSocket एंडपॉइंट /terminal/ws से संबंधित एक प्री-ऑथेंटिकेशन रिमोट कोड एक्ज़ीक्यूशन भेद्यता है।
Marimo एक ओपन-सोर्स रिएक्टिव Python नोटबुक है जो उपयोगकर्ताओं को वेब इंटरफ़ेस के माध्यम से Python कोड लिखने और निष्पादित करने की सुविधा देता है। चूँकि नोटबुक प्लेटफ़ॉर्म सर्वर-साइड पर कोड निष्पादित कर सकते हैं, टर्मिनल एक्सेस जैसी विशेषाधिकार प्राप्त सुविधाओं को उचित प्रमाणीकरण और एक्सेस नियंत्रण द्वारा संरक्षित किया जाना चाहिए।
भेद्य Marimo संस्करणों में, टर्मिनल WebSocket एंडपॉइंट पर प्रमाणीकरण ठीक से लागू नहीं किया गया था। परिणामस्वरूप, एक अप्रमाणित उपयोगकर्ता संभावित रूप से टर्मिनल कार्यक्षमता तक पहुँच सकता था और उस वातावरण में कमांड निष्पादित कर सकता था जहाँ Marimo चल रहा है।
इस परियोजना का लक्ष्य एक स्थानीय Docker लैब में भेद्यता को पुनः उत्पन्न करना, मूल कारण का विश्लेषण करना, भेद्य और पैच किए गए संस्करणों की तुलना करना, और सत्यापित करना है कि फ़िक्स इस समस्या को रोकता है।
/terminal/ws/terminal/ws में मूल कारण का विश्लेषण करनायह परियोजना केवल शैक्षिक उद्देश्यों के लिए है। सभी परीक्षण एक स्थानीय Docker लैब वातावरण में किए जाएंगे।