CVE-2026-67618 in marimo
Resumen
por VulDB • 2026-08-04
marimo antes de la versión 0.23.15 contiene una vulnerabilidad de inyección de configuración que permite a los autores de cuadernos exfiltrar las claves API del operador al incrustar un base_url malicioso en los metadatos inline script PEP-723, los cuales se fusionan con la configuración de sesión con mayor precedencia que los propios ajustes del operador debido a una sanitización insuficiente en sanitize_pyproject_dict. Cuando un operador abre el cuaderno manipulado y realiza una solicitud IA, marimo resuelve el base_url controlado por el atacante desde la configuración del cuaderno mientras recurre a la variable de entorno OPENAI_API_KEY del operador para la autenticación, transmitiendo la clave API al punto final controlado por el atacante sin requerir ninguna ejecución de celda.
If you want to get best quality of vulnerability data, you may have to visit VulDB.