CVE-2026-87987
KrytyczneCVSS 10.0Streszczenie
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń poprzez przypisania zmiennych środowiskowych poprzedzające dozwolone polecenia. Te przypisania są wyłączone z inspekcji, co umożliwia kontrolowanym przez atakującego zmiennym środowiskowym spowodowanie dowolnego wykonania kodu bez zgody użytkownika.
Ocena ryzyka
Umożliwia atakującemu wykonanie dowolnego kodu w systemie użytkownika bez jego zgody, co prowadzi do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj Mistral Vibe do wersji zawierającej poprawkę inspekcji przypisań zmiennych środowiskowych.
Inne podatności w Mistral Vibe
Zobacz wszystkie- CVE-2026-87988Krytyczne
Podatność dowolnego dostępu do plików w Mistral Vibe pozwala atakującemu obejść ograniczenia obszaru roboczego poprzez polecenia klasyfikowane jako bezwarunkowo dozwolone. Brak walidacji ścieżek dla tych poleceń umożliwia dostęp do plików poza aktywnym obszarem roboczym bez zgody użytkownika.
- CVE-2026-87986Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń za pomocą konstrukcji powłoki, których parser nie potrafi zinterpretować. Nieprzetworzone fragmenty są pomijane podczas inspekcji, co umożliwia wykonanie osadzonych poleceń w systemie użytkownika bez zgody.
- CVE-2026-87985Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń za pomocą argumentów w cudzysłowach ANSI-C. Te argumenty nie są prawidłowo sprawdzane, co umożliwia spreparowanemu dozwolonemu poleceniu wykonanie dowolnego kodu w systemie użytkownika bez zgody.
- CVE-2026-87984Krytyczne
Podatność w Mistral Vibe (od wersji 1.3.4) pozwala atakującemu na zapis dowolnych plików poza aktywnym obszarem roboczym bez zgody użytkownika. Miejsca docelowe przekierowań powłoki są pomijane w kontroli uprawnień, co umożliwia zatwierdzonym komendom zapis do dowolnych ścieżek dostępnych dla procesu Vibe.
- CVE-2026-87983Krytyczne
Podatność w Mistral Vibe (od wersji 2.6.0) pozwala atakującemu na odczyt dowolnych plików poza obszarem roboczym poprzez użycie cytowanych ścieżek absolutnych w zatwierdzonych komendach powłoki. Nieprawidłowa obsługa cudzysłowów podczas walidacji ścieżek umożliwia odczyt plików bez zgody użytkownika.
- CVE-2026-67623Wysokie
Mistral Vibe przed wersją 2.23.3 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na wykonanie dowolnych poleceń poprzez osadzenie złośliwego hooka core.fsmonitor w pliku .git/config repozytorium. Hook jest wyzwalany, gdy vibe uruchamia `git status --porcelain` bez tłumienia wykonywania hooków. Atakujący mogą rozpowszechniać lub tworzyć spreparowane repozytorium zawierające złośliwy wpis fsmonitor, aby uzyskać wykonanie dowolnych poleceń z pełnymi uprawnieniami ofiary, gdy jakiekolwiek polecenie vibe zostanie uruchomione w tym repozytorium.
Oryginalny opis (angielski, źródło NVD)
An arbitrary code execution vulnerability in Mistral Vibe allows an attacker to bypass command permission checks using environment variable assignments preceding allowlisted commands. These assignments are excluded from inspection, enabling attacker-controlled environment variables to cause arbitrary code execution without user approval.