Marimo Notebook 漏洞可在编辑模式下、单元格执行前运行 MCP 命令

根据 VulnCheck 的 CVE 编号机构（CNA）记录，Marimo 已修复其 notebook 软件中的一个高危安全漏洞，该漏洞允许攻击者在特制的 notebook 中执行攻击者提供的模型上下文协议（MCP）命令。
CNA 记录称，当 notebook 在编辑模式下打开时，该命令可作为本地子进程运行。
该漏洞被追踪为 CVE-2026-75149，是一个代码注入问题，影响 0.23.15 之前的版本。VulnCheck 的 CVE 编号机构（CNA）记录为其分配了 CVSS v4 评分 8.7 和 CVSS v3.1 评分 8.8，需要用户交互，且无需攻击者身份验证。
Marimo 已在 0.23.15 版本中解决该问题。该 CVE 于 8 月 19 日发布。运行受影响版本的用户应迁移到受影响范围之外的版本。
根据 OSV 的 CVE 导入，特制的 notebook 可以通过 notebook 配置提供攻击者控制的 MCP 服务器命令。
受害者以编辑模式打开该 notebook。CNA 记录称，指定的命令会在任何 notebook 单元格执行之前作为本地子进程启动。
Marimo 的 PEP 723 加固补丁将 notebook 元数据视为攻击者可控，并通过允许列表传递 notebook 提供的配置。
以下 notebook 提供的配置部分会被移除：
ai
mcp
completion
secrets
server
该补丁的 MCP 回归测试用例使用攻击者控制的 URL，并验证 mcp 部分已被移除。CNA 记录提供了针对 CVE-2026-75149 所描述的独立的命令到子进程行为。
The Hacker News 于 8 月 25 日确认，当前 PyPI 发布版本为 0.24.0，于 8 月 17 日发布。Marimo 的 0.23.15 版本于 2026 年 7 月 23 日发布。Marimo 的安全政策规定，仅为最新稳定版本提供安全补丁，并鼓励用户保持更新。
CVE 记录将发现该漏洞的功劳归于 Gregory Tan，他使用的代号为 Grg0rry。该代号也作为共同作者出现在 Marimo 的 PEP 723 加固提交中。
相同的配置边界在 VulnCheck 单独的 CVE-2026-67618 公告（CVSS 评分：7.1）中得到了处理，该公告于 2026 年 8 月 4 日披露。该漏洞影响 0.23.15 之前的 Marimo 版本，涉及通过 notebook 元数据提供的攻击者控制的人工智能（AI）base_url。
对于 CVE-2026-67618，操作者打开恶意 notebook。操作者随后发出 AI 请求。配置的端点随后收到操作者的 API 密钥，而无需执行任何 notebook 单元格。
CVE-2026-75149 与此前 Marimo 中的 CVE-2026-39987 漏洞是分开的。Marimo 针对该漏洞的公告称，0.20.4 及更早版本受 /terminal/ws 端点缺少身份验证校验的影响。
到达该端点的请求可以获得完整的伪终端（PTY）shell。该 shell 随后可以执行任意命令。Marimo 将 0.23.0 版本列为该早期漏洞的已修复版本。