PT-2026-111824 · Mistralai · Mistral-Vibe
CVSS v3.1
8.8
عالية
| المتجه | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
اسم البرنامج المصاب والإصدارات المتأثرة
Mistral Vibe الإصدارات السابقة لـ 2.25.4
الوصف
يسمح تجاوز بوابة أذونات الأوامر للمهاجمين بتنفيذ أوامر عشوائية عن طريق إخفاء استبدال أمر داخل قيمة متغير محاط بعلامات اقتباس مفردة. تتجنب هذه التقنية الكشف بواسطة التحليل الاستاتيكي لـ tree-sitter-bash. من خلال تضمين استبدال أمر داخل متغير محاط بعلامات اقتباس مفردة وإعادة توسيعه باستخدام عامل تحويل المطالبة
${var@P}، تقوم ميزة promptvars في bash بتنفيذ الأمر المخفي في وقت التشغيل. يحدث هذا بينما يتم تصنيف الأمر المسموح به النهائي فقط، مما يؤدي إلى تنفيذ أوامر عشوائية صامتة بصلاحيات جلسة طرفية للوكيل.التوصيات
تحديث Mistral Vibe إلى الإصدار 2.25.4 أو إصدار أحدث.
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Mistral-Vibe