CVE-2026-103929
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W mise przed wersją 2026.7.14, w domyślnym trybie non-safe, mise ładuje .mise.toml [settings] z niezaufanego lokalnego projektu przed zatwierdzeniem zaufania, a strip_local_only_settings usuwa tylko pola oznaczone jako global_only. Ustawienia unix_default_file_shell_args, unix_default_inline_shell_args, windows_default_file_shell_args i windows_default_inline_shell_args nie były oznaczone jako global_only, co pozwala repozytorium zastąpić domyślne argumenty interpretera używane przez zaufane zadania bez jawnego shella, dyrektywy postinstall, operacje exec szablonów lub hooki, które korzystają z domyślnego shella. Gdy mise dołącza zaufane polecenie po argumentach interpretera kontrolowanych przez atakującego, wybrane przez atakującego polecenie może zostać wykonane jako pierwsze z uprawnieniami konta dewelopera, mimo że lokalna konfiguracja nigdy nie została zaufana.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia z uprawnieniami dewelopera, co prowadzi do naruszenia integralności i poufności środowiska deweloperskiego.
Rekomendacja
Zaktualizuj mise do wersji 2026.7.14 lub nowszej, aby naprawić podatność.
Inne podatności w mise
Zobacz wszystkie- CVE-2026-33646Krytyczne
Narzędzie mise przed wersją 2026.3.10 przetwarza pliki .tool-versions przez silnik szablonów Tera z zarejestrowaną funkcją exec(), co umożliwia wykonanie dowolnych poleceń. W przeciwieństwie do plików .mise.toml, pliki .tool-versions nie podlegają weryfikacji zaufania w trybie nieparanoidalnym, co pozwala atakującemu na umieszczenie złośliwego pliku w repozytorium git i wykonanie kodu bez ostrzeżenia.
- CVE-2026-71477Średnie
Narzędzie mise, zarządzające wersjami narzędzi deweloperskich, przed wersją 2026.7.1 zapisuje plik wykonywalny mise/bin/mise z identyfikatorami użytkownika i grupy 1001, a proces instalacji nie normalizuje własności, co pozwala lokalnemu użytkownikowi o tych identyfikatorach podmienić zainstalowany plik, szczególnie gdy ścieżka instalacji wskazuje na współdzieloną lokalizację jak /usr/local/bin.
- CVE-2026-35533Wysokie
mise zarządza narzędziami deweloperskimi, takimi jak node, python, cmake i terraform. Od wersji 2026.2.18 do 2026.4.5 mise ładuje ustawienia kontroli zaufania z lokalnego pliku .mise.toml przed wykonaniem sprawdzenia zaufania. Atakujący, który może umieścić złośliwy plik .mise.toml w repozytorium, może sprawić, że ten sam plik będzie wydawał się zaufany, a następnie uzyskać dostęp do niebezpiecznych dyrektyw, takich jak [env] _.source, templates, hooks lub tasks.
Oryginalny opis (angielski, źródło NVD)
mise manages dev tools like node, python, cmake, and terraform. Prior to 2026.7.14, in the default non-safe mode, mise loads .mise.toml [settings] from an untrusted local project before trust approval and strip_local_only_settings removes only fields marked global_only. The unix_default_file_shell_args, unix_default_inline_shell_args, windows_default_file_shell_args, and windows_default_inline_shell_args settings were not marked global_only, allowing a repository to replace the default interpreter arguments used by trusted tasks that have no explicit shell, postinstall directives, template exec operations, or hooks that fall back to the default shell. When mise appends the trusted command after the attacker-controlled interpreter arguments, the attacker-selected command can execute first with the developer account's privileges even though the local configuration was never trusted. The separate path-sanitization hardening note in the advisory is outside this vulnerability. This issue is fixed in version 2026.7.14.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS