CVE-2026-39987 漏洞利用 POC

概述

本仓库包含针对 CVE-2026-39987 的概念验证（POC）脚本，该漏洞是 Marimo 中的一个预认证远程代码执行（RCE）漏洞。该利用程序通过 WebSocket 端点在目标系统上执行任意命令。

漏洞详情

• CVE ID：CVE-2026-39987
• 受影响组件：Terminal WebSocket 端点（/terminal/ws）
• 影响：无需认证即可进行未授权的远程代码执行
• 受影响版本：<= 0.20.4

安全公告参考

• GHSA-2679-6mx9-h9xc

环境要求

• Python 3.x
• 所需依赖包：
  root@kitploit:~

  pip install websocket-client
  

使用方法

python exploit.py -u <目标URL> [-c "<命令>"]
python exploit.py -u http://example.com:2718 -c "cat /etc/passwd"

参数说明

-u, --url：目标 URL（例如：http://localhost:2718）\ -c --command：要执行的命令（默认为 id && whoami && hostname）
-h, --help：帮助信息

免责声明

本脚本仅用于教育和研究目的。
请负责任地使用，仅针对您拥有或已获得明确测试许可的系统。
滥用此工具可能导致意外后果和潜在的安全风险。
使用本脚本即表示您确认对由此产生的任何行为承担全部责任。