CVE-2026-87983
KrytyczneCVSS 9.2Streszczenie
Podatność w Mistral Vibe (od wersji 2.6.0) pozwala atakującemu na odczyt dowolnych plików poza obszarem roboczym poprzez użycie cytowanych ścieżek absolutnych w zatwierdzonych komendach powłoki. Nieprawidłowa obsługa cudzysłowów podczas walidacji ścieżek umożliwia odczyt plików bez zgody użytkownika.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych plików poza obszarem roboczym, co może prowadzić do wycieku danych, w tym poświadczeń lub informacji konfiguracyjnych. Ryzyko dotyczy organizacji używających Mistral Vibe w środowiskach z dostępem do poufnych danych.
Rekomendacja
Zaktualizuj Mistral Vibe do wersji, w której poprawiono tę podatność, oraz ogranicz dostęp procesu do wrażliwych katalogów. Rozważ wdrożenie dodatkowych kontroli dostępu do plików i monitorowanie nietypowych operacji odczytu.
Inne podatności w Mistral Vibe
Zobacz wszystkie- CVE-2026-87988Krytyczne
Podatność dowolnego dostępu do plików w Mistral Vibe pozwala atakującemu obejść ograniczenia obszaru roboczego poprzez polecenia klasyfikowane jako bezwarunkowo dozwolone. Brak walidacji ścieżek dla tych poleceń umożliwia dostęp do plików poza aktywnym obszarem roboczym bez zgody użytkownika.
- CVE-2026-87987Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń poprzez przypisania zmiennych środowiskowych poprzedzające dozwolone polecenia. Te przypisania są wyłączone z inspekcji, co umożliwia kontrolowanym przez atakującego zmiennym środowiskowym spowodowanie dowolnego wykonania kodu bez zgody użytkownika.
- CVE-2026-87986Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń za pomocą konstrukcji powłoki, których parser nie potrafi zinterpretować. Nieprzetworzone fragmenty są pomijane podczas inspekcji, co umożliwia wykonanie osadzonych poleceń w systemie użytkownika bez zgody.
- CVE-2026-87985Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń za pomocą argumentów w cudzysłowach ANSI-C. Te argumenty nie są prawidłowo sprawdzane, co umożliwia spreparowanemu dozwolonemu poleceniu wykonanie dowolnego kodu w systemie użytkownika bez zgody.
- CVE-2026-87984Krytyczne
Podatność w Mistral Vibe (od wersji 1.3.4) pozwala atakującemu na zapis dowolnych plików poza aktywnym obszarem roboczym bez zgody użytkownika. Miejsca docelowe przekierowań powłoki są pomijane w kontroli uprawnień, co umożliwia zatwierdzonym komendom zapis do dowolnych ścieżek dostępnych dla procesu Vibe.
- CVE-2026-67623Wysokie
Mistral Vibe przed wersją 2.23.3 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na wykonanie dowolnych poleceń poprzez osadzenie złośliwego hooka core.fsmonitor w pliku .git/config repozytorium. Hook jest wyzwalany, gdy vibe uruchamia `git status --porcelain` bez tłumienia wykonywania hooków. Atakujący mogą rozpowszechniać lub tworzyć spreparowane repozytorium zawierające złośliwy wpis fsmonitor, aby uzyskać wykonanie dowolnych poleceń z pełnymi uprawnieniami ofiary, gdy jakiekolwiek polecenie vibe zostanie uruchomione w tym repozytorium.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file read vulnerability in Mistral Vibe, introduced in version 2.6.0, allows an attacker to bypass workspace restrictions using quoted absolute paths in allowlisted shell commands. Improper handling of quotation marks during path validation enables files outside the active workspace to be read without user approval.