Mise управляет такими инструментами разработки, как Node, Python, cmake и terraform. До версии 2026.7.1 архивы tar выпуска записывают mise/bin/mise с идентификатором пользователя и группы 1001, а package/standalone/install.envsubst извлекает и перемещает его без нормализации владения, позволяя локальному пользователю с этими идентификаторами заменить исполняемый файл, установленный с правами root, особенно когда MISE_INSTALL_PATH нацелен на общее расположение, такое как /usr/local/bin. Эта проблема исправлена в версии 2026.7.1.
Показать оригинальное описание (EN)
mise manages dev tools like node, python, cmake, and terraform. Prior to 2026.7.1, release tar archives record mise/bin/mise with user and group ID 1001 and packaging/standalone/install.envsubst extracts and moves it without normalizing ownership, allowing a local user with those IDs to replace a root-installed executable, especially when MISE_INSTALL_PATH targets a shared location such as /usr/local/bin. This issue is fixed in version 2026.7.1.
Характеристики атаки
Последствия
Строка CVSS v3.1