Der Kern des Problems liegt an der Grenze zwischen Notebook-Inhalt und Anwendungskonfiguration. Ein präpariertes Notebook kann über seine Konfiguration einen vom Angreifer bestimmten MCP-Server-Befehl vorgeben. Öffnet das Opfer die Datei im Editiermodus, wird dieser Befehl dem CNA-Eintrag zufolge als lokaler Subprozess gestartet, noch bevor irgendeine Zelle des Notebooks läuft. Die übliche Annahme, dass ein Notebook erst durch das Ausführen von Zellen gefährlich wird, greift hier also nicht.
Marimos Gegenmaßnahme ist ein Härtungs-Patch rund um PEP 723: Notebook-Metadaten werden konsequent als angreiferkontrolliert behandelt, und vom Notebook gelieferte Konfiguration passiert eine Allowlist. Bestimmte Konfigurationsabschnitte aus dem Notebook werden dabei vollständig entfernt. Der zum Patch gehörende Regressionstest für MCP arbeitet mit einer angreiferkontrollierten URL und prüft, dass der mcp-Abschnitt tatsächlich verschwindet. Die Beschreibung des Befehls, der als Subprozess startet, stammt aus dem separaten CNA-Eintrag zu CVE-2026-75149. Das Handle Grg0rry, dem der CVE-Eintrag die Entdeckung zuschreibt, erscheint auch als Mitautor des PEP-723-Härtungs-Commits.
Zur Versionslage: The Hacker News bestätigte am 25. August, dass die aktuelle Veröffentlichung auf PyPI Version 0.24.0 ist, freigegeben am 17. August. Die fehlerbehebende Version 0.23.15 wurde am 23. Juli 2026 publiziert. Marimos Sicherheitsrichtlinie sieht Sicherheitspatches nur für die jeweils neueste stabile Version vor und legt Anwendern nahe, aktuell zu bleiben.
Dieselbe Konfigurationsgrenze war bereits Gegenstand eines weiteren VulnCheck-Advisories: CVE-2026-67618 mit einem CVSS-Wert von 7,1 wurde am 4. August 2026 offengelegt und betrifft ebenfalls Marimo-Versionen vor 0.23.15. Dabei lässt sich über Notebook-Metadaten eine angreiferkontrollierte base_url für KI-Anfragen einschmuggeln. Der Ablauf: Ein Bediener öffnet das bösartige Notebook und stellt später eine KI-Anfrage – der konfigurierte Endpunkt erhält daraufhin den API-Schlüssel des Bedieners, ohne dass eine Notebook-Zelle ausgeführt werden muss.
Von einer älteren Lücke ist CVE-2026-75149 klar zu trennen: CVE-2026-39987 betraf laut Marimos Advisory die Versionen 0.20.4 und älter und bestand in einer fehlenden Authentifizierungsprüfung am Endpunkt /terminal/ws. Anfragen an diesen Endpunkt konnten eine vollständige Pseudo-Terminal-Shell (PTY) erhalten und darüber beliebige Befehle ausführen. Als korrigierte Fassung nennt Marimo hier Version 0.23.0.