CVE-2026-109429

Nome do Software Vulnerável e Versões Afetadas Mistral Vibe versões anteriores a 2.25.4

Descrição Uma falha de bypass no controle de permissões de comando permite que atacantes executem comandos arbitrários ao ocultar uma substituição de comando dentro de um valor de variável entre aspas simples. Esta técnica evita a detecção pelo parsing estático do tree-sitter-bash. Ao incorporar uma substituição de comando em uma variável entre aspas simples e reexpandi-la usando o operador de transformação de prompt ${var@P}, o recurso promptvars do bash executa o comando oculto em tempo de execução. Isso ocorre enquanto apenas o comando permitido final é classificado, resultando na execução silenciosa de comandos arbitrários com os privilégios da sessão do terminal do agente.

Recomendações Atualize o Mistral Vibe para a versão 2.25.4 ou posterior.