CVE-2026-71477
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Narzędzie mise, zarządzające wersjami narzędzi deweloperskich, przed wersją 2026.7.1 zapisuje plik wykonywalny mise/bin/mise z identyfikatorami użytkownika i grupy 1001, a proces instalacji nie normalizuje własności, co pozwala lokalnemu użytkownikowi o tych identyfikatorach podmienić zainstalowany plik, szczególnie gdy ścieżka instalacji wskazuje na współdzieloną lokalizację jak /usr/local/bin.
Ocena ryzyka
Lokalny użytkownik z identyfikatorami 1001 może przejąć kontrolę nad wykonywalnym plikiem mise, co może prowadzić do eskalacji uprawnień lub uruchomienia złośliwego kodu w kontekście administratora.
Rekomendacja
Zaktualizuj mise do wersji 2026.7.1 lub nowszej, która zawiera poprawkę normalizującą własność plików podczas instalacji.
Inne podatności w mise
Zobacz wszystkie- CVE-2026-33646Krytyczne
Narzędzie mise przed wersją 2026.3.10 przetwarza pliki .tool-versions przez silnik szablonów Tera z zarejestrowaną funkcją exec(), co umożliwia wykonanie dowolnych poleceń. W przeciwieństwie do plików .mise.toml, pliki .tool-versions nie podlegają weryfikacji zaufania w trybie nieparanoidalnym, co pozwala atakującemu na umieszczenie złośliwego pliku w repozytorium git i wykonanie kodu bez ostrzeżenia.
- CVE-2026-35533Wysokie
mise zarządza narzędziami deweloperskimi, takimi jak node, python, cmake i terraform. Od wersji 2026.2.18 do 2026.4.5 mise ładuje ustawienia kontroli zaufania z lokalnego pliku .mise.toml przed wykonaniem sprawdzenia zaufania. Atakujący, który może umieścić złośliwy plik .mise.toml w repozytorium, może sprawić, że ten sam plik będzie wydawał się zaufany, a następnie uzyskać dostęp do niebezpiecznych dyrektyw, takich jak [env] _.source, templates, hooks lub tasks.
Oryginalny opis (angielski, źródło NVD)
mise manages dev tools like node, python, cmake, and terraform. Prior to 2026.7.1, release tar archives record mise/bin/mise with user and group ID 1001 and packaging/standalone/install.envsubst extracts and moves it without normalizing ownership, allowing a local user with those IDs to replace a root-installed executable, especially when MISE_INSTALL_PATH targets a shared location such as /usr/local/bin. This issue is fixed in version 2026.7.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS