marimo contains a reflected cross-site scripting vulnerability in the notebook page
marimo before 0.23.9 contains a reflected cross-site scripting vulnerability in the notebook page that allows unauthenticated attackers to inject arbitrary JavaScript by exploiting improper escaping of single quotes in the file query parameter reflected into an inline JavaScript string literal. Attackers can craft a malicious link with a payload beginning with new to bypass the 404 check and inject JavaScript into the page, which executes without Content-Security-Policy restrictions in the origin of a victim's marimo server.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | marimo | < 0.23.9 | 0.23.9 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2026-54386
- https://github.com/marimo-team/marimo/pull/9789
- https://github.com/marimo-team/marimo/commit/fdd55c8cf6260ae23bb411dc9d9269def5cf75d6
- https://github.com/marimo-team/marimo
- https://github.com/marimo-team/marimo/releases/tag/0.23.9
- https://www.vulncheck.com/advisories/marimo-xss-via-file-query-parameter-in-assets-py
- https://pypi.org/project/marimo
- https://github.com/advisories/GHSA-8m59-7xv8-735h
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N- Słabość (CWE)
CWE-79- Platforma
- Python (PyPI)
- Paczka
marimo- Ujawniono
- 18.06.2026
- Aktualizacja
- 11.10.2026 14:18
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-2619 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-8m59-7xv8-735h - CC BY 4.0
Historia podatności: marimo
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 3
- Pierwsza → ostatnia
- 10.2025 06.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 1
Rozkład istotności
- Krytyczna 1
- Średnia 2
Ujawnienia w latach
- 2025: 1
- 2026: 2
-
marimo contains a reflected cross-site scripting vulnerability in the notebook page ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.