Marimo a publié une correction pour une faille de haute criticité affectant sa solution de notebooks. Le problème permettait, dans un scénario spécialement conçu, de déclencher une exécution de commandes MCP avant même qu’aucune cellule du notebook ne soit réellement exécutée en mode d’édition.
Selon les informations attribuées à la base CVE, le mécanisme repose sur un notebook forgé, capable d’injecter une commande liée à Model Context Protocol (MCP). Ci-dessous, nous faisons le point sur ce que permettait la vulnérabilité, comment elle a été corrigée et quelles actions sont recommandées aux utilisateurs.
Ce que permettait la vulnérabilité Marimo
La vulnérabilité identifiée sous la référence CVE-2026-75149 constitue un cas d’injection de code. D’après l’enregistrement de type CNA, un attaquant pouvait fournir une commande MCP via un notebook spécialement préparé.
Le point le plus préoccupant est que la commande pouvait être lancée en tant que sous-processus local lors de l’ouverture du notebook en mode édition. Autrement dit, l’exécution ne dépendait pas du fait que les cellules du notebook tournent : la commande pouvait partir avant toute exécution de contenu prévu dans le document.
Un risque élevé, avec interaction utilisateur requise
Les scores CVSS mentionnés pour cette faille indiquent un niveau de risque important. L’enregistrement CNA attribue notamment :
- CVSS v4 : 8.7
- CVSS v3.1 : 8.8
Le modèle de risque précise également deux éléments clés : une interaction de l’utilisateur est requise, et aucune authentification de l’attaquant n’est nécessaire pour déclencher le comportement décrit.
Concrètement, l’attaquant doit amener la victime à ouvrir le notebook piégé dans le contexte approprié (notamment en mode édition), afin que la commande injectée soit mise en œuvre.
Comment un notebook malveillant pouvait véhiculer la commande MCP
D’après l’import CVE réalisé par OSV, un notebook forgé peut transmettre à l’attaquant un niveau de contrôle via la configuration du document. Le serveur MCP ainsi que la commande associée peuvent être fournis par l’attaquant au travers de la configuration contenue dans le notebook.
Le scénario décrit est le suivant : la victime ouvre le notebook en mode édition, puis la commande précisée est démarrée comme sous-processus local avant l’exécution de toute cellule.
La correction : durcissement du traitement des métadonnées
Marimo a répondu à ce problème dans sa version 0.23.15. Le durcissement annoncé repose sur une approche de sécurité où les métadonnées du notebook sont traitées comme un vecteur potentiellement contrôlé par un attaquant.
En pratique, le correctif indique que des configurations fournies à partir du notebook sont passées via une liste d’acceptation (allowlist). L’objectif est d’empêcher l’usage de sections de configuration qui pourraient conduire à un comportement dangereux.
Le patch supprime notamment certaines sections lorsqu’elles proviennent du notebook, parmi lesquelles :
- ai
- mcp
- completion
- secrets
- server
Le durcissement comporte aussi des cas de non-régression liés à MCP. Le principe de test mentionné consiste à utiliser une URL contrôlée par un attaquant et à vérifier que la section mcp n’est plus conservée et ne peut donc plus conduire au comportement défaillant décrit pour CVE-2026-75149.
Quand la faille a-t-elle été corrigée, et quelle version faut-il utiliser ?
La publication CVE relative à CVE-2026-75149 est indiquée avec une date de publication du 19 août. Marimo indique que le correctif se trouve dans 0.23.15 et recommande aux utilisateurs de mettre à jour vers une version qui ne fait plus partie de la plage vulnérable.
Par ailleurs, les informations reprises indiquent que la version distribuée via PyPI à la date de vérification (confirmée fin août) est 0.24.0, publiée le 17 août. Cela signifie que, pour la plupart des utilisateurs, passer à une version actuelle constitue la voie la plus simple pour se protéger.
La politique de sécurité évoquée par Marimo insiste sur le fait que les correctifs sont fournis pour la version stable la plus récente et encourage à rester à jour.
Un contexte plus large : d’autres limites de configuration déjà ciblées
Cette vulnérabilité n’est pas isolée dans les discussions autour des frontières de configuration côté notebook. Un autre conseil CVE distinct, référencé comme CVE-2026-67618, a déjà été divulgué et concernerait également un problème lié aux métadonnées de notebook.
Dans ce cas antérieur, l’enregistrement évoque la possibilité qu’un opérateur ouvre un notebook malveillant puis effectue une requête liée à l’IA. L’endpoint configuré pourrait alors recevoir la clé API de l’opérateur, sans qu’une cellule de notebook doive s’exécuter.
Ce deuxième avis est associé à un score CVSS mentionné à 7.1 et reste distinct de CVE-2026-75149. Le message général est le même : certaines zones de configuration, si elles ne sont pas suffisamment filtrées, peuvent créer des voies d’abus.
Ce n’est pas non plus la première faille Marimo
Le récapitulatif fourni mentionne aussi une vulnérabilité plus ancienne, référencée CVE-2026-39987. D’après les détails présentés, elle concernait une absence de validation d’authentification sur l’endpoint /terminal/ws.
Les conséquences évoquées pour cette faille précédente incluaient la possibilité d’obtenir un pseudo-terminal (PTY), puis d’exécuter des commandes arbitraires. Marimo cite alors 0.23.0 comme version corrigée pour ce problème.
Qui a découvert la faille
La fiche CVE attribue la découverte à Gregory Tan, identifié via le handle Grg0rry. Le même identifiant apparaît aussi comme co-auteur d’un engagement lié au durcissement (PEP 723) mentionné dans le cadre de cette correction.
Recommandations pour se protéger
Si vous utilisez Marimo Notebook, l’action la plus importante est de mettre à jour vers une version qui corrige le problème, notamment 0.23.15 ou plus récent (par exemple la version actuelle indiquée comme 0.24.0 dans les informations reprises).
En complément, adoptez des pratiques prudentes autour de l’ouverture de documents provenant de tiers : évitez d’utiliser en mode édition des notebooks dont vous ne maîtrisez pas la provenance, en particulier lorsqu’ils peuvent contenir de la configuration contrôlée par un tiers.
Conclusion
La faille CVE-2026-75149 met en évidence un risque réel autour des métadonnées et de la configuration des notebooks : dans un scénario conçu, l’exécution de commandes MCP pouvait démarrer via un sous-processus local dès l’ouverture en mode édition, avant même l’exécution des cellules.
Heureusement, Marimo a introduit un correctif en 0.23.15 avec un durcissement fondé sur la validation stricte des sections de configuration. Mettre à jour et réduire l’exposition aux notebooks non fiables reste la meilleure façon de limiter l’impact.
Source: https://thehackernews.com/2026/08/marimo-notebook-flaw-could-run-mcp.html
