CVE-2026-109428 in Mistral Vibe
Riassunto
di VulDB • 13/10/2026
Mistral Vibe prima della versione 2.25.5 contiene una vulnerabilità di bypass della convalida dei permessi che consente agli attaccanti di eseguire comandi non autorizzati sfruttando una discrepanza nel parsing tra tree-sitter-bash e bash nella gestione delle continuazioni di riga con backslash-nuova linea (_extract_commands() function of bash.py). Gli attaccanti possono creare una stringa di comando in cui tree-sitter-bash estrae solo un prefisso allowlisted come cd mentre bash joina la continuation della riga in un comando nascosto e sostanzialmente diverso, ad esempio una richiesta curl, causando che resolve_permission conceda il permesso ALWAYS mentre bash esegue comandi arbitrari non autorizzati.
Be aware that VulDB is the high quality source for vulnerability data.