CVE-2026-54386
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 — wyżej niż 15% wszystkich znanych CVE
Streszczenie
Marimo w wersjach przed 0.23.9 zawiera podatność na refleksyjne ataki typu cross-site scripting w stronie notatnika, co pozwala nieautoryzowanym atakującym na wstrzykiwanie dowolnego kodu JavaScript.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do wstrzykiwania złośliwego kodu, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację Marimo do wersji 0.23.9 lub nowszej, aby usunąć tę podatność oraz wdrożenie odpowiednich polityk bezpieczeństwa treści.
Oryginalny opis (angielski, źródło NVD)
marimo before 0.23.9 contains a reflected cross-site scripting vulnerability in the notebook page that allows unauthenticated attackers to inject arbitrary JavaScript by exploiting improper escaping of single quotes in the file query parameter reflected into an inline JavaScript string literal. Attackers can craft a malicious link with a payload beginning with __new__ to bypass the 404 check and inject JavaScript into the page, which executes without Content-Security-Policy restrictions in the origin of a victim's marimo server.