Marimo Kimlik Doğrulama Öncesi RCE (CVE-2026-39987)

CVSS 9.3. Marimo Python reaktif notebook (~19.6k GitHub yıldızı) terminal WebSocket uç noktası `/terminal/ws` kimlik doğrulamasından yoksun. Tek bir WebSocket bağlantısı tam PTY kabuğu sağlar. Genellikle Docker içinde root olarak çalışır. Sysdig honeypot'ları açıklamadan saatler sonra sömürü gözlemledi. Gerçek ortamda sömürüldüğü doğrulandı. v0.23.0 sürümünde düzeltildi.