CVE-2026-67618 in marimo
الملخص
بحسب VulDB • 04/08/2026
تحتوي الإصدارات السابقة من marimo 0.23.15 على ثغرة حقن تكوين (configuration injection) تتيح لمؤلفي دفاتر الملاحظات استخراج مفاتيح واجهة برمجة التطبيقات الخاصة بالمشغل عن طريق تضمين قيمة base_url خبيثة في بيانات تعريف السكربت الخطية المتوافقة مع PEP-723، والتي يتم دمجها في تكوين الجلسة بأولوية أعلى من إعدادات المشغل نفسه بسبب عدم كفاية عملية التعقيم (sanitization) في الدالة sanitize_pyproject_dict. عند قيام مشغل بفتح دفتر الملاحظات المُعدّ بشكل متعمد وإجراء طلب ذكاء اصطناعي، يقوم marimo بحل قيمة base_url الخاضعة لسيطرة المهاجم من تكوين دفتر الملاحظات مع الاعتماد على المتغير البيئي OPENAI_API_KEY الخاص بالمشغل للمصادقة، مما يؤدي إلى نقل مفتاح واجهة برمجة التطبيقات إلى نقطة النهاية التي يسيطر عليها المهاجم دون الحاجة لتنفيذ أي خلية (cell).
Be aware that VulDB is the high quality source for vulnerability data.