🇰🇷 한글 설명
marimo 0.23.9 이전 버전의 노트북 페이지에는 반사형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. file 쿼리 매개변수의 작은따옴표 이스케이프가 부적절하여, 인증되지 않은 공격자가 인라인 JavaScript 문자열에 임의의 스크립트를 삽입할 수 있습니다. 공격자는 __new__로 시작하는 페이로드로 404 검사를 우회할 수 있으며, 삽입된 스크립트는 CSP 제한 없이 피해자 marimo 서버의 출처(origin)에서 실행됩니다.
💡 쉬운 설명
marimo라는 데이터 분석 도구의 웹 주소에 악성 코드를 숨겨 두고, 사용자가 그 링크를 클릭하면 공격자가 사용자의 브라우저에서 명령을 실행할 수 있습니다. 로그인하지 않아도 이 공격이 가능하다는 점이 위험합니다.
🇺🇸 원문 (English)
marimo before 0.23.9 contains a reflected cross-site scripting vulnerability in the notebook page that allows unauthenticated attackers to inject arbitrary JavaScript by exploiting improper escaping of single quotes in the file query parameter reflected into an inline JavaScript string literal. Attackers can craft a malicious link with a payload beginning with __new__ to bypass the 404 check and inject JavaScript into the page, which executes without Content-Security-Policy restrictions in the origin of a victim's marimo server.
📍 영향받는 시스템
marimo 0.23.9 미만 버전을 사용하는 모든 marimo 서버 및 환경
⚔️ 공격 벡터
공격자가 악성 페이로드를 포함한 링크를 만들어 피해자가 클릭하도록 유도하면, 피해자 브라우저에서 스크립트가 실행됨
🛡️ 대응 방법
marimo를 0.23.9 이상 버전으로 업데이트하고, 외부 링크 접근을 제한하며 신뢰할 수 없는 링크 클릭을 주의
🔧 검증 코드
출력된 버전이 0.23.9 미만이면 취약한 것이며, 0.23.9 이상이면 패치가 적용된 것입니다. 명령이 아무것도 출력하지 않으면 marimo가 pip으로 설치되지 않은 것입니다.
pip show marimo 2>/dev/null | grep -i '^version'