Уязвимость чтения произвольных файлов в Mistral Vibe, представленная в версии 2.6.0, позволяет злоумышленнику обойти ограничения рабочей области, используя абсолютные пути в кавычках в командах оболочки из разрешенного списка. Неправильная обработка кавычек во время проверки пути позволяет читать файлы за пределами активной рабочей области без разрешения пользователя.
Показать оригинальное описание (EN)
An arbitrary file read vulnerability in Mistral Vibe, introduced in version 2.6.0, allows an attacker to bypass workspace restrictions using quoted absolute paths in allowlisted shell commands. Improper handling of quotation marks during path validation enables files outside the active workspace to be read without user approval.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
mistralai:mistral-vibe