CVE-2026-87988
KrytyczneCVSS 10.0Streszczenie
Podatność dowolnego dostępu do plików w Mistral Vibe pozwala atakującemu obejść ograniczenia obszaru roboczego poprzez polecenia klasyfikowane jako bezwarunkowo dozwolone. Brak walidacji ścieżek dla tych poleceń umożliwia dostęp do plików poza aktywnym obszarem roboczym bez zgody użytkownika.
Ocena ryzyka
Umożliwia atakującemu dostęp do plików poza obszarem roboczym bez zgody użytkownika, co może prowadzić do utraty poufności danych.
Rekomendacja
Zaktualizuj Mistral Vibe do wersji zawierającej poprawkę walidacji ścieżek dla bezwarunkowo dozwolonych poleceń.
Inne podatności w Mistral Vibe
Zobacz wszystkie- CVE-2026-87987Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń poprzez przypisania zmiennych środowiskowych poprzedzające dozwolone polecenia. Te przypisania są wyłączone z inspekcji, co umożliwia kontrolowanym przez atakującego zmiennym środowiskowym spowodowanie dowolnego wykonania kodu bez zgody użytkownika.
- CVE-2026-87986Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń za pomocą konstrukcji powłoki, których parser nie potrafi zinterpretować. Nieprzetworzone fragmenty są pomijane podczas inspekcji, co umożliwia wykonanie osadzonych poleceń w systemie użytkownika bez zgody.
- CVE-2026-87985Krytyczne
Podatność dowolnego wykonania kodu w Mistral Vibe pozwala atakującemu obejść kontrole uprawnień poleceń za pomocą argumentów w cudzysłowach ANSI-C. Te argumenty nie są prawidłowo sprawdzane, co umożliwia spreparowanemu dozwolonemu poleceniu wykonanie dowolnego kodu w systemie użytkownika bez zgody.
- CVE-2026-87984Krytyczne
Podatność w Mistral Vibe (od wersji 1.3.4) pozwala atakującemu na zapis dowolnych plików poza aktywnym obszarem roboczym bez zgody użytkownika. Miejsca docelowe przekierowań powłoki są pomijane w kontroli uprawnień, co umożliwia zatwierdzonym komendom zapis do dowolnych ścieżek dostępnych dla procesu Vibe.
- CVE-2026-87983Krytyczne
Podatność w Mistral Vibe (od wersji 2.6.0) pozwala atakującemu na odczyt dowolnych plików poza obszarem roboczym poprzez użycie cytowanych ścieżek absolutnych w zatwierdzonych komendach powłoki. Nieprawidłowa obsługa cudzysłowów podczas walidacji ścieżek umożliwia odczyt plików bez zgody użytkownika.
- CVE-2026-67623Wysokie
Mistral Vibe przed wersją 2.23.3 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na wykonanie dowolnych poleceń poprzez osadzenie złośliwego hooka core.fsmonitor w pliku .git/config repozytorium. Hook jest wyzwalany, gdy vibe uruchamia `git status --porcelain` bez tłumienia wykonywania hooków. Atakujący mogą rozpowszechniać lub tworzyć spreparowane repozytorium zawierające złośliwy wpis fsmonitor, aby uzyskać wykonanie dowolnych poleceń z pełnymi uprawnieniami ofiary, gdy jakiekolwiek polecenie vibe zostanie uruchomione w tym repozytorium.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file access vulnerability in Mistral Vibe allows an attacker to bypass workspace restrictions through commands classified as unconditionally allowed. Missing path validation for these commands enables access to files outside the active workspace without user approval.