ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي Mistral Vibe قبل الإصدار 3.0.3 على ثغرة تنفيذ أوامر عن بُعد تتيح للمهاجمين تشغيل الأوامر عن طريق تحديد برامج تصفية git في ملف .git/config الخاص بمستودع غير موثوق به. عند البدء باستخدام --worktree، يقوم git worktree add بتطبيق .gitattributes وتشغيل أوامر التصفية smudge أو clean أو process قبل التحقق من المجلد الموثوق، مما يؤدي إلى تنفيذ أوامر المهاجم بصلاحيات المستخدم.
المعالجة
المراجع
- تصحيحhttps://github.com/mistralai/mistral-vibe/commit/7bb48f213ac677f943d5c791199ed3dddf302f00
- تحذيرhttps://www.vulncheck.com/advisories/mistral-vibe-before-3.0.3-rce-via-git-filter-drivers-in-worktree-mode
- مرجعhttps://github.com/mistralai/mistral-vibe/blob/v2.24.1/vibe/core/worktree.py#L303-L317
- مرجعhttps://github.com/mistralai/mistral-vibe/issues/997
- مرجعhttps://github.com/mistralai/mistral-vibe/releases/tag/v3.0.3