laremontada12/cve-2026-39987-marimo-preauth-rceRiproduzione e analisi della causa principale di CVE-2026-39987, RCE pre-autenticazione via WebSocket in Marimo, in un laboratorio Docker locale.
Questo progetto si concentra su CVE-2026-39987, una vulnerabilità di Remote Code Execution pre-autenticazione in Marimo relativa all'endpoint WebSocket del terminale /terminal/ws.
Marimo è un notebook Python reattivo open-source che consente agli utenti di scrivere ed eseguire codice Python tramite un'interfaccia web. Poiché le piattaforme notebook possono eseguire codice lato server, le funzionalità privilegiate come l'accesso al terminale devono essere protette da un'adeguata autenticazione e controllo degli accessi.
Nelle versioni vulnerabili di Marimo, l'autenticazione non veniva applicata correttamente sull'endpoint WebSocket del terminale. Di conseguenza, un utente non autenticato poteva potenzialmente accedere alle funzionalità del terminale ed eseguire comandi nell'ambiente in cui Marimo è in esecuzione.
L'obiettivo di questo progetto è riprodurre la vulnerabilità in un laboratorio Docker locale, analizzare la causa principale, confrontare le versioni vulnerabile e corretta e verificare che la correzione prevenga il problema.
/terminal/ws/terminal/wsQuesto progetto è solo a scopo educativo. Tutti i test saranno eseguiti in un ambiente di laboratorio Docker locale.