CVE-2026-116843：Mistral Vibe 3.0.3 之前版本因 Git 過濾驅動程式在 Worktree 模式下可遠端執行命令
CVE-2026-116843 - Mistral Vibe before 3.0.3 RCE via Git Filter Drivers in Worktree Mode
Mistral Vibe 3.0.3 之前版本因 Git 過濾驅動程式可遠端執行命令。
- 漏洞概述：在使用
--worktree時，.git/config中的 filter 驅動可在未受信任倉庫中執行攻擊者命令。
本漏洞可遠端執行命令，影響 Mistral Vibe 3.0.3 之前版本，提醒使用者升級或避免使用 --worktree，以防止未授權命令執行。建議即時更新並檢查 git 配置，並限制未受信任倉庫的存取許可權。
Mistral Vibe 3.0.3 之前的版本包含一個遠端程式碼執行漏洞，允許攻擊者透過在不受信任的倉庫 .git/config 中定義 git 過濾驅動程式來執行命令。當使用 --worktree 啟動時，git worktree add 會套用 .gitattributes 並在可信資料夾檢查之前執行 filter smudge、clean 或 process 命令，從而以使用者許可權執行攻擊者命令。
影響
受影響產品
以下產品受 CVE-2026-116843 漏洞影響。即使 cvefeed.io 知道受影響產品的確切版本，該資訊未在下表中呈現。
尚未記錄受影響產品
通用漏洞評分系統（Common Vulnerability Scoring System）是一個標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | HIGH | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 4.0 | HIGH | 83251b91-4cc7-4094-a5c7-464a1b83ea10 |
更新 Mistral Vibe 至 3.0.3 或更高版本以修復遠端程式碼執行漏洞。
- 更新 Mistral Vibe 至 3.0.3 或更新版本。
- 避免在不受信任的倉庫中使用 --worktree。
- 審查不受信任倉庫的 git 配置。
- 對 git 配置實施更嚴格的輸入驗證。
我們掃描 GitHub 倉庫以偵測新的概念驗證（Proof-of-Concept）漏洞。以下清單是已在 GitHub 釋出的公開漏洞與概念驗證集合（按最近更新時間排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下清單為文章中提及 CVE-2026-116843 漏洞的新聞。
EPSS 是對未來 30 天內觀察到利用活動機率的每日估計。以下圖表顯示該漏洞的 EPSS 分數歷史。