CVE-2026-109428 in Mistral Vibe
Zusammenfassung
von VulDB • 13.10.2026
Mistral Vibe vor Version 2.25.5 enthält eine Schwachstelle zur Umgehung der Berechtigungsvalidierung (Permission Validation Bypass), die es Angreifern ermöglicht, nicht autorisierte Befehle auszuführen, indem sie eine Parsing-Diskrepanz zwischen tree-sitter-bash und bash bei der Behandlung von Backslash-Newline-Zeilenumbrüchen in der Funktion _extract_commands() von bash.py ausnutzen. Angreifer können einen Befehlsstring so gestalten, dass tree-sitter-bash nur ein auf einer Whitelist stehendes Präfix wie „cd“ extrahiert, während bash den Zeilenumbruch zu einem erheblich anderen und versteckten Befehl zusammenfügt, beispielsweise eine curl-Anfrage. Dies führt dazu, dass resolve_permission IMMER-Berechtigung gewährt, während bash nicht autorisierte beliebige Befehle ausführt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.