CVE-2026-39987 PoC

सारांश

Marimo <= 0.20.4 /terminal/ws WebSocket एंडपॉइंट में प्री-ऑथेंटिकेशन RCE भेद्यता से प्रभावित है।

एंडपॉइंट एप्लिकेशन मोड और टर्मिनल समर्थन की जांच करता है, लेकिन WebSocket कनेक्शन स्वीकार करने से पहले प्रमाणीकरण को मान्य नहीं करता। यह फिर एक PTY शेल बनाता है, जिससे एक अनप्रमाणित हमलावर Marimo प्रक्रिया के विशेषाधिकारों के साथ कमांड निष्पादित कर सकता है।

मूल कारण

अन्य WebSocket एंडपॉइंट्स के विपरीत जो validate_auth() को कॉल करते हैं, कमजोर टर्मिनल एंडपॉइंट कनेक्शन को सीधे स्वीकार करता है:

if app_state.mode != SessionMode.EDIT:
    await websocket.close(...)
    return

if not supports_terminal():
    await websocket.close(...)
    return

await websocket.accept()
child_pid, fd = pty.fork()

गायब प्रमाणीकरण जांच PTY तक अनप्रमाणित पहुंच की अनुमति देती है।

प्रभावित संस्करण