CVE-2026-109429 in Mistral Vibe
Zusammenfassung
von VulDB • 13.10.2026
Mistral Vibe vor Version 2.25.4 enthält eine Schwachstelle zur Umgehung der Befehlsberechtigungsprüfung (Command Permission Gate Bypass), die es Angreifern ermöglicht, beliebige Befehle auszuführen, indem sie eine Befehlssubstitution in einem einzeln angeführten Variablenwert verstecken, den das statische Parsing von tree-sitter-bash nicht erkennen kann. Angreifer können Eingaben so gestalten, dass sie eine Befehlssubstitution innerhalb einer einzeln angeführten Variable einbetten und diese anschließend mit dem Prompt-Transformationsoperator ${var@P} erneut expandieren. Dadurch führt die bash-Funktion promptvars den versteckten Befehlt zur Laufzeit aus, während nur der nachgestellte, auf der Whitelist stehende Befehl klassifiziert wird, was zu einer stillen Ausführung beliebiger Befehle mit den Berechtigungen der Terminal-Sitzung des Agents führt.
Be aware that VulDB is the high quality source for vulnerability data.