ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي Mistral Vibe قبل الإصدار 3.0.3 على ثغرة تنفيذ أوامر عن بُعد تسمح للمهاجمين بتشغيل أوامر من خلال إساءة استخدام المعامل gpg.program المُكوّن في المستودع أثناء تجميع سياق المشروع. يؤدي إعداد مستودع مُعد خصيصًا لـ gpg.program وlog.showSignature مع التزام موقع إلى جعل git log ينفذ برنامج المهاجم عند بدء الجلسة، قبل أي مطالبة بالثقة.
المعالجة
المراجع
- تصحيحhttps://github.com/mistralai/mistral-vibe/commit/7bb48f213ac677f943d5c791199ed3dddf302f00
- تحذيرhttps://www.vulncheck.com/advisories/mistral-vibe-before-3.0.3-rce-via-repository-configured-gpg-program
- مرجعhttps://github.com/mistralai/mistral-vibe
- مرجعhttps://github.com/mistralai/mistral-vibe/blob/v3.0.3/CHANGELOG.md?plain=1#L113
- مرجعhttps://github.com/mistralai/mistral-vibe/releases/tag/v3.0.3
- مرجعhttps://github.com/mistralai/mistral-vibe/blob/v3.0.2/vibe/core/system_prompt.py#L52-L67