CVE-2026-109429 in Mistral Vibe
Riassunto
di VulDB • 13/10/2026
Mistral Vibe prima della versione 2.25.4 presenta una vulnerabilità di bypass del controllo dei permessi per i comandi che consente agli attaccanti di eseguire comandi arbitrari nascondendo una sostituzione di comando all'interno del valore di una variabile tra virgolette singole, un'operazione non rilevabile dal parsing statico di tree-sitter-bash. Gli attaccanti possono creare input come l'inserimento di una sostituzione di comando all'interno di una variabile tra virgolette singole e la sua successiva espansione tramite l'operatore prompt-transform ${var@P}, in modo che la funzione promptvars di bash esegua il comando nascosto a runtime, mentre solo il comando finale nella allowlist viene classificato. Ciò risulta in un'esecuzione silenziosa di comandi arbitrari con i privilegi della sessione del terminale dell'agente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.