CVE-2026-93858 in Mistral
Resumen
por VulDB • 2026-10-09
En OpenStack Mistral hasta la versión 23.0.0, la acción `std.ssh_proxied` pasa un valor de `proxy_command` proporcionado por el usuario directamente a `paramiko.ProxyCommand()` antes de intentar cualquier conexión SSH hacia una puerta de enlace o host objetivo. Un miembro del proyecto autenticado puede utilizar la API estándar de ejecución de acciones para enviar un comando local arbitrario como `proxy_command`; paramiko inicia ese comando como un proceso secundario en el host executor bajo la cuenta de servicio propia del executor, independientemente de si la conexión SSH en sí misma tiene éxito o no. Solo están afectados los despliegues de Mistral que permiten la acción `std.ssh_proxied`, siendo esta la configuración predeterminada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.