Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-829

CVE-2026-122135

Mistral Vibe'da depo yapılandırmasıyla gpg.program üzerinden uzaktan kod çalıştırma

mistralai mistral-vibe

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, kötü niyetli bir proje dosyasını açan kullanıcının bilgisayarında saldırganın kendi komutlarını çalıştırmasına olanak tanır ve kullanıcı hiçbir uyarı görmez. Sonuç olarak veri sızıntısı, sistem kontrolünün kaybı ve iş sürekliliğinde kesinti gibi ciddi riskler doğurabilir. Güncellemenin hızlı biçimde uygulanması önerilir.

ÖzetTürkçe

Mistral Vibe'ın 3.0.3 öncesi sürümlerinde, proje bağlamı toplanırken depo yapılandırmasındaki gpg.program ayarının kötüye kullanılmasına izin veren bir uzaktan kod çalıştırma açığı bulunmaktadır. Saldırgan, hazırladığı bir depoda gpg.program ve log.showSignature ayarlarını ve imzalı bir commit'i kullanarak git log komutunun kendi programını çalıştırmasını sağlayabilir. Bu durum, oturum başlarken ve herhangi bir güven onayı istenmeden gerçekleşir.

Saldırgan ne yapabilir?

Saldırgan, kullanıcının sisteminde kendi komutlarını çalıştırabilir; bu da sistemin tamamen ele geçirilmesine ve veri kaybına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Mistral Vibe before 3.0.3 contains a remote code execution vulnerability that allows attackers to run commands by abusing repository-configured gpg.program during project context collection. A crafted repository setting gpg.program and log.showSignature with a signed commit makes git log execute the attacker's program at session start, before any trust prompt.

Ne yapmalı?

  1. Mistral Vibe'ı 3.0.3 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar güvenilmeyen depoları Mistral Vibe ile açmaktan kaçının. Genel öneri
  3. Güncelleme sonrasında sistemde beklenmeyen süreç veya komut çalışmalarını kontrol edin. Genel öneri

Ek önlemler

  • Üçüncü taraf veya kaynağı belirsiz depoları, özellikle yerel git yapılandırma dosyalarını incelemeden kullanmayın. Genel öneri
  • Geliştirici bilgisayarlarında çalışan araçların yetkilerini en aza indirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
mistralai mistral-vibe < 3.0.3 3.0.3

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.