- Yama var
- Son 7 gün
- CWE-427
CVE-2026-122133
Mistral Vibe (Windows) güvenilmeyen arama yolu nedeniyle git.exe üzerinden uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kötü niyetli bir proje dosyası açan geliştiricilerin bilgisayarını saldırganın kontrolüne geçirebilir. Kullanıcının yalnızca bir depoyu açması yeterli olduğundan saldırı kolaydır. Etkilenen yazılımı hemen güncellemek, geliştirici ortamlarının güvenliği açısından acil bir önceliktir.
ÖzetTürkçe
Windows üzerinde çalışan Mistral Vibe'ın 2.25.5 öncesi sürümlerinde, güvenilmeyen arama yolu (CWE-427) zafiyeti bulunmaktadır. Saldırgan, depo kök dizinine kötü amaçlı bir git.exe yerleştirebilir. SessionLogger ve ProjectContextProvider bileşenleri oturum başlarken bu dosyayı güven onayı istenmeden çalıştırır. Etkilenen kullanıcılar, hazırlanmış bir depoyu açmaya yönlendirilebilir.
Saldırgan ne yapabilir?
Saldırgan, kullanıcının bilgisayarında kendi kodunu kullanıcı yetkileriyle çalıştırabilir; bu da veri okuma, değiştirme ve sistemin ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Mistral Vibe before 2.25.5 on Windows contains an untrusted search path vulnerability that allows attackers to execute code by placing git.exe in a repository root. Attackers can lure users into opening a crafted repository so SessionLogger and ProjectContextProvider run the malicious git.exe at session start before any trust prompt.
Ne yapmalı?
- Mistral Vibe'ı 2.25.5 veya sonraki bir sürüme güncelleyin. Üretici
- Güncelleme yapılana kadar güvenilmeyen kaynaklardan gelen depoları açmaktan kaçının. Genel öneri
- Sistemde depo kök dizinlerinde beklenmedik git.exe dosyası bulunup bulunmadığını kontrol edin ve varsa kaldırıp inceleyin. Genel öneri
Ek önlemler
- Geliştirici makinelerinde yazılım ve araç güncellemelerini düzenli olarak takip edin. Genel öneri
- Geliştiricilerin bilinmeyen kaynaklardan gelen projeleri izole bir ortamda açmasını sağlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mistralai mistral-vibe | < 2.25.5 | 2.25.5 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/c069ffa1e12fb5f2487b489217c40ab97721d553 Yama
- vulncheck.com/…-windows-untrusted-search-path-rce-via-git-exe Üçüncü taraf
- github.com/mistralai/mistral-vibe Diğer
- github.com/mistralai/mistral-vibe/blob/v2.25.5/CHANGELOG.md Diğer
- github.com/mistralai/mistral-vibe/releases/tag/v2.25.5 Diğer
- github.com/…l-vibe/blob/v2.25.4/vibe/core/system_prompt.py Diğer
- github.com/…ob/v2.25.4/vibe/core/session/session_logger.py Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.