6.1
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
marimo before 0.23.9 contains a reflected cross-site scripting vulnerability in the notebook page that allows unauthenticated attackers to inject arbitrary JavaScript by exploiting improper escaping of single quotes in the file query parameter reflected into an inline JavaScript string literal. Attackers can craft a malicious link with a payload beginning with __new__ to bypass the 404 check and inject JavaScript into the page, which executes without Content-Security-Policy restrictions in the origin of a victim's marimo server.
Засегнати продукти
- marimo-team marimo: преди 0.23.9
Вид слабост
История
- 17 юни 2026 Публикувано
Други уязвимости в marimo-team marimo
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-54386
- https://nvd.nist.gov/vuln/detail/CVE-2026-54386
- https://github.com/marimo-team/marimo/releases/tag/0.23.9
- https://github.com/marimo-team/marimo/pull/9789
- https://github.com/marimo-team/marimo/commit/fdd55c8cf6260ae23bb411dc9d9269def5cf75d6
- https://www.vulncheck.com/advisories/marimo-xss-via-file-query-parameter-in-assets-py