CVE-2026-87984
KrytyczneCVSS 9.3Streszczenie
Podatność w Mistral Vibe (od wersji 1.3.4) pozwala atakującemu na zapis dowolnych plików poza aktywnym obszarem roboczym bez zgody użytkownika. Miejsca docelowe przekierowań powłoki są pomijane w kontroli uprawnień, co umożliwia zatwierdzonym komendom zapis do dowolnych ścieżek dostępnych dla procesu Vibe.
Ocena ryzyka
Atakujący może nadpisać lub utworzyć pliki poza obszarem roboczym, co może prowadzić do uszkodzenia danych, modyfikacji konfiguracji lub wykonania kodu. Ryzyko dotyczy organizacji używających Mistral Vibe w środowiskach, gdzie proces ma dostęp do wrażliwych ścieżek.
Rekomendacja
Zaktualizuj Mistral Vibe do wersji, w której poprawiono tę podatność, oraz ogranicz uprawnienia procesu Vibe do niezbędnego minimum. Rozważ monitorowanie i audyt operacji zapisu plików wykonywanych przez to narzędzie.
Inne podatności w Mistral Vibe
Zobacz wszystkie- CVE-2026-87988Krytyczne
Podatność dowolnego dostępu do plików w Mistral Vibe pozwala atakującemu obejść ograniczenia obszaru roboczego poprzez polecenia klasyfikowane jako bezwarunkowo dozwolone. Brak walidacji ścieżek dla tych poleceń umożliwia dostęp do plików poza aktywnym obszarem roboczym bez zgody użytkownika.
- CVE-2026-87987Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń poprzez przypisania zmiennych środowiskowych poprzedzające dozwolone polecenia. Te przypisania są wyłączone z inspekcji, co umożliwia kontrolowanym przez atakującego zmiennym środowiskowym spowodowanie dowolnego wykonania kodu bez zgody użytkownika.
- CVE-2026-87986Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń za pomocą konstrukcji powłoki, których parser nie potrafi zinterpretować. Nieprzetworzone fragmenty są pomijane podczas inspekcji, co umożliwia wykonanie osadzonych poleceń w systemie użytkownika bez zgody.
- CVE-2026-87985Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń za pomocą argumentów w cudzysłowach ANSI-C. Te argumenty nie są prawidłowo sprawdzane, co umożliwia spreparowanemu dozwolonemu poleceniu wykonanie dowolnego kodu w systemie użytkownika bez zgody.
- CVE-2026-87983Krytyczne
Podatność w Mistral Vibe (od wersji 2.6.0) pozwala atakującemu na odczyt dowolnych plików poza obszarem roboczym poprzez użycie cytowanych ścieżek absolutnych w zatwierdzonych komendach powłoki. Nieprawidłowa obsługa cudzysłowów podczas walidacji ścieżek umożliwia odczyt plików bez zgody użytkownika.
- CVE-2026-67623Wysokie
Mistral Vibe przed wersją 2.23.3 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na wykonanie dowolnych poleceń poprzez osadzenie złośliwego hooka core.fsmonitor w pliku .git/config repozytorium. Hook jest wyzwalany, gdy vibe uruchamia `git status --porcelain` bez tłumienia wykonywania hooków. Atakujący mogą rozpowszechniać lub tworzyć spreparowane repozytorium zawierające złośliwy wpis fsmonitor, aby uzyskać wykonanie dowolnych poleceń z pełnymi uprawnieniami ofiary, gdy jakiekolwiek polecenie vibe zostanie uruchomione w tym repozytorium.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file write vulnerability in Mistral Vibe, introduced in version 1.3.4, allows an attacker to create or overwrite files outside the active workspace without user approval. Shell redirection destinations are omitted from permission checks, enabling otherwise allowlisted commands to write to arbitrary paths accessible to the Vibe process.