CVE-2026-35533

إصدارات mise من 2026.2.18 إلى 2026.4.5

يقوم mise بتحميل إعدادات التحكم في الثقة بشكل غير صحيح من ملف .mise.toml محلي تابع للمشروع قبل إجراء فحوصات الثقة. وهذا يسمح للمهاجم الذي يمكنه وضع ملف .mise.toml ضار في مستودع بجعل الملف يبدو موثوقًا ثم تنفيذ أوامر خطيرة مثل [env] .source، أو القوالب، أو الخطافات، أو المهام. تنشأ هذه الثغرة الأمنية من تحميل ملفات الإعدادات المحلية دون التحقق مسبقًا من موثوقيتها. وعلى وجه التحديد، فإن الإعداد trusted config paths، عند تعيينه على ’/‘، يسمح باعتبار أي مسار مطلق موثوقًا به. وهذا يتجاوز الإجراءات الأمنية المقصودة. وهناك مشكلة ذات صلة تسمح للإعدادات المحلية yes = true أو ci = true بالموافقة تلقائيًا على مطالبات الثقة في الإصدارات 2026.2.18 والإصدارات الأحدث، على الرغم من أن ناقل الاستغلال الأساسي يتعلق بالإعداد trusted config paths. يُثبت نموذج إثبات المفهوم أن تعيين trusted config paths = [”/“] في ملف .mise.toml يسمح بتنفيذ برنامج نصي يتحكم فيه المهاجم عبر mise hook-env.

لا تقم باحترام إعدادات التحكم في الثقة الواردة من ملفات تكوين المشاريع غير العالمية. وعلى وجه التحديد، تجاهل الحقول trusted config paths وyes وci وparanoid عند تحميل ملفات تكوين المشاريع المحلية.