CVE-2026-109428
Publiée le 2026-10-13 · Dernière modification le 2026-10-26
Les versions de Mistral Vibe antérieures à la 2.25.5 sont affectées par une faille dans la manière dont le logiciel valide les commandes bash. Un attaquant peut contourner les vérifications de permissions en utilisant des caractères de continuation de ligne spécifiques pour masquer des commandes non autorisées, lui permettant ainsi d'exécuter du code arbitraire sur le serveur. Cette action peut être réalisée à distance sans authentification, bien qu'elle nécessite qu'un utilisateur interagisse avec une chaîne de caractères spécialement conçue.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Mistral Vibe before 2.25.5 contains a permission validation bypass vulnerability that allows attackers to execute unauthorized commands by exploiting a parsing discrepancy between tree-sitter-bash and bash in handling backslash-newline line continuations in the _extract_commands() function of bash.py. Attackers can craft a command string where tree-sitter-bash extracts only an allowlisted prefix such as cd while bash joins the line continuation into a materially different and hidden command such as a curl request, causing resolve_permission to grant ALWAYS permission while bash executes unauthorized arbitrary commands.