Marimo ha risolto una vulnerabilità critica che permetteva l'esecuzione di comandi MCP controllati da un attaccante all'apertura di notebook in modalità modifica. Il problema, che interessava le versioni precedenti alla 0.23.15, è stato classificato ad alta gravità e richiede l'aggiornamento immediato.
Marimo ha recentemente risolto una vulnerabilità di sicurezza ad alta gravità che consentiva l'esecuzione di comandi Model Context Protocol (MCP) forniti da un attaccante tramite notebook appositamente modificati. Secondo il record della CVE Numbering Authority (CNA) di VulnCheck, il comando poteva essere eseguito come sottoprocesso locale quando il notebook veniva aperto in modalità modifica, senza che fosse necessaria l'esecuzione di alcuna cella.
La vulnerabilità, identificata come CVE-2026-75149, riguardava tutte le versioni di Marimo precedenti alla 0.23.15 e rappresentava un caso di code injection. Il punteggio di gravità assegnato è 8.7 secondo CVSS v4 e 8.8 secondo CVSS v3.1, con la necessità di interazione dell'utente ma senza autenticazione dell'attaccante. Il problema è stato risolto nella versione 0.23.15, rilasciata il 23 luglio 2026, mentre la versione attuale su PyPI è la 0.24.0, pubblicata il 17 agosto.
Come funzionava l'attacco e la patch di Marimo
Secondo l'importazione OSV della CVE, un notebook manipolato poteva includere una configurazione MCP controllata dall'attaccante. Quando la vittima apriva il file in modalità modifica, il comando specificato veniva lanciato come sottoprocesso locale prima dell'esecuzione di qualsiasi cella. Per mitigare il rischio, Marimo ha introdotto una patch di hardening PEP 723 che tratta i metadati del notebook come potenzialmente ostili e filtra le configurazioni tramite una allowlist. Sono state rimosse le sezioni di configurazione notebook relative a ai, mcp, completion, secrets e server. Il caso di regressione MCP della patch verifica che la sezione mcp venga effettivamente eliminata anche in presenza di URL controllati da un attaccante.
Altre vulnerabilità correlate e raccomandazioni
La CNA attribuisce la scoperta della vulnerabilità a Gregory Tan (Grg0rry), che figura anche tra gli autori della patch PEP 723. Un problema simile, CVE-2026-67618 (CVSS 7.1), era stato segnalato il 4 agosto 2026 e riguardava la possibilità di esporre la chiave API dell'operatore tramite un endpoint AI configurato nei metadati del notebook. In quel caso, l'attacco si attivava quando l'operatore effettuava una richiesta AI dopo aver aperto il notebook. Un'ulteriore vulnerabilità, CVE-2026-39987, aveva invece interessato le versioni fino alla 0.20.4, consentendo l'accesso a una shell PTY completa tramite l'endpoint /terminal/ws senza autenticazione, risolta poi nella 0.23.0.
Marimo raccomanda agli utenti di aggiornare sempre all'ultima versione stabile, in linea con la propria policy di sicurezza. Per chi desidera approfondire le implicazioni delle vulnerabilità nei sistemi di notebook e agenti AI, è interessante anche il caso dei payload auto-replicanti tra agenti autonomi, come analizzato in questa recente analisi sulle minacce nei prompt AI.
