CVE-2026-103929

اسم البرنامج المصاب والإصدارات المتأثرة mise الإصدارات السابقة لـ 2026.7.14

Description في الوضع غير الآمن الافتراضي، يقوم البرنامج بتحميل الإعدادات من ملف .mise.toml في مشروع محلي غير موثوق قبل الموافقة على الثقة. نظرًا لأن دالة strip local only settings تزيل فقط الحقول المحددة كـ global only ، لم يتم تصفية بعض الإعدادات بشكل صحيح. وتحديدًا، يمكن التلاعب بمتغيرات unix default file shell args و unix default inline shell args و windows default file shell args و windows default inline shell args بواسطة مستودع خبيث. يسمح هذا للمهاجم باستبدال وسيطات المفسر الافتراضية المستخدمة في المهام الموثوقة التي ليس لها shell صريح، أو توجيهات ما بعد التثبيت، أو عمليات تنفيذ القوالب، أو الـ hooks. نتيجة لذلك، يمكن تنفيذ أمر يتحكم فيه المهاجم بصلاحيات حساب المطور، حتى لو لم يتم الوثوق بالتكوين المحلي.

Recommendations التحديث إلى الإصدار 2026.7.14.