CVE-2026-33646
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Narzędzie mise przed wersją 2026.3.10 przetwarza pliki .tool-versions przez silnik szablonów Tera z zarejestrowaną funkcją exec(), co umożliwia wykonanie dowolnych poleceń. W przeciwieństwie do plików .mise.toml, pliki .tool-versions nie podlegają weryfikacji zaufania w trybie nieparanoidalnym, co pozwala atakującemu na umieszczenie złośliwego pliku w repozytorium git i wykonanie kodu bez ostrzeżenia.
Ocena ryzyka
Ryzyko polega na tym, że ofiara z aktywowanym mise po przejściu do katalogu z repozytorium git zawierającym złośliwy plik .tool-versions może nieświadomie uruchomić dowolne polecenia, co prowadzi do przejęcia kontroli nad systemem lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować mise do wersji 2026.3.10 lub nowszej. Dodatkowo rozważ włączenie trybu paranoidalnego (paranoid mode) dla wszystkich plików konfiguracyjnych, aby wymusić weryfikację zaufania.
Inne podatności w mise
Zobacz wszystkie- CVE-2026-71477Średnie
Narzędzie mise, zarządzające wersjami narzędzi deweloperskich, przed wersją 2026.7.1 zapisuje plik wykonywalny mise/bin/mise z identyfikatorami użytkownika i grupy 1001, a proces instalacji nie normalizuje własności, co pozwala lokalnemu użytkownikowi o tych identyfikatorach podmienić zainstalowany plik, szczególnie gdy ścieżka instalacji wskazuje na współdzieloną lokalizację jak /usr/local/bin.
- CVE-2026-35533Wysokie
mise zarządza narzędziami deweloperskimi, takimi jak node, python, cmake i terraform. Od wersji 2026.2.18 do 2026.4.5 mise ładuje ustawienia kontroli zaufania z lokalnego pliku .mise.toml przed wykonaniem sprawdzenia zaufania. Atakujący, który może umieścić złośliwy plik .mise.toml w repozytorium, może sprawić, że ten sam plik będzie wydawał się zaufany, a następnie uzyskać dostęp do niebezpiecznych dyrektyw, takich jak [env] _.source, templates, hooks lub tasks.
Oryginalny opis (angielski, źródło NVD)
mise manages dev tools like node, python, cmake, and terraform. Prior to 2026.3.10, mise processes .tool-versions files through the Tera template engine during parsing, with the exec() function registered, enabling arbitrary command execution. Unlike .mise.toml files, .tool-versions files are not subject to trust verification in non-paranoid mode. This means an attacker can place a malicious .tool-versions file in a git repository, and when a victim with mise activated cds into the directory, arbitrary commands execute without any trust prompt. This vulnerability is fixed in 2026.3.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS