marimo antes 0.23.15 contém uma vulnerabilidade de injeção de código no manipulador de configuração de notebook que permite aos atacantes executar comandos arbitrários fornecendo uma entrada de servidor MCP criada com um valor de comando controlado pelo atacante incorporado num notebook. Quando o notebook é aberto em modo de edição, marimo lança o comando especificado como um subprocesso local antes de qualquer célula de notebook ser executada, não necessitando de nenhuma autenticação ou execução de célula para desencadear a vulnerabilidade. Registro de aconselhamento: GHSA-gfgh-xp 6 v-q 37 q. Identificadores relacionados: CVE- 2026 - 75149.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 19 T 18: 32: 54.000 Z e lista a sua última modificação como 2026 - 08 - 19 T 18: 32: 54.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H; CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/S:X/AU:X/R:X/V:X/X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 94. O registro contém 5 suporte de referências nestes tipos: AVISO, WEB.