mise: Lokale Konfiguration überschreibt Standard-Shell-Argumente
Zusammenfassung
mise, ein Tool-Manager für Entwicklungswerkzeuge wie node, python und terraform, liest Standard-Argumente des Shell-Interpreters aus einer nicht vertrauenswürdigen lokalen .mise.toml, bevor das Projekt als vertrauenswürdig freigegeben wurde. Ein angreifergesteuertes Repository kann dadurch beliebige Befehle mit den Rechten des Entwicklerkontos ausführen, wenn eine vertrauenswürdige Aufgabe oder ein Installationsschritt auf die Standard-Shell zurückfällt. Die Schwachstelle erfordert, dass ein Benutzer das Repository öffnet und eine vertrauenswürdige Aufgabe oder Installation ausführt.
Betroffen
- jdx mise, alle Versionen vor 2026.7.14
Behoben in
- Auf mise 2026.7.14 oder neuer aktualisieren
Umgehung
- Unbekannt.
- Mise nicht in nicht vertrauenswürdigen Repositories ausführen und Vertrauensabfragen für unbekannte .mise.toml-Dateien nicht bestätigen, bis das Update installiert ist.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc', nicht automatisierbar.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA KEV: nicht gelistet.
Unsere Empfehlung
- mise auf Entwickler-Arbeitsstationen, CI-Runnern und Build-Servern auf 2026.7.14 oder neuer aktualisieren.
- Prüfen, ob Ihre Distribution oder Ihr Paketmanager eine ältere mise-Version bereitstellt.
- mise bis zur Aktualisierung nicht in unbekannten Repositories verwenden.
- Systeme, auf denen mise eingesetzt wird, auf unerwartete Befehlsausführungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-g74g-rg72-j2p3 github.com
- Fix commit c6cd7a9 github.com
- Pull request #11293 github.com
- mise release v2026.7.14 github.com
- OSV GHSA-g74g-rg72-j2p3 osv.dev
- OpenCVE CVE-2026-103929 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:58.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.