CVE-2026-33646: mise: injeção de código por arquivo .tool-versions malicioso (CWE-94)
O gerenciador de ferramentas de desenvolvimento mise processa arquivos .tool-versions por meio de um motor de templates antes da versão 2026.3.10, o que o registro descreve como possibilitando execução arbitrária de comandos. Segundo o registro, uma vítima com o mise ativado que entre em um repositório malicioso pode ser afetada sem aviso de confiança no modo não paranoico. O registro informa pontuação CVSS 3.1 base de 9,6 (Crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O mise é uma ferramenta para gerenciar ferramentas de desenvolvimento como Node, Python, CMake e Terraform. Segundo o registro, versões anteriores à 2026.3.10 processam arquivos .tool-versions por meio do motor de templates Tera durante a análise, o que pode levar à execução arbitrária de comandos.
Impacto
- O registro descreve execução arbitrária de comandos afetando um usuário com o mise ativado que entra em um diretório malicioso.
- A fraqueza é classificada como CWE-94 (Injeção de Código). A CNA publicou pontuação CVSS 3.1 base de 9,6, com severidade Crítica.
- Diferentemente dos arquivos .mise.toml, os arquivos .tool-versions não estão sujeitos à verificação de confiança no modo não paranoico, portanto o registro não descreve aviso de confiança antes da execução.
Produtos e versões afetados
- Produto: mise, versões anteriores à 2026.3.10, conforme a descrição do registro.
- As listas estruturadas de versões afetadas e corrigidas estão vazias. O intervalo exato deve ser confirmado no aviso de segurança do GitHub.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o mise para a versão 2026.3.10 ou posterior, que o registro afirma conter a correção.
- Até concluir a atualização, evite entrar em repositórios não confiáveis em sistemas onde o mise está ativado.
- Consulte o aviso de segurança do GitHub para orientações do fornecedor.
Orientações de detecção
- Inspecione arquivos .tool-versions em repositórios clonados ou recebidos de fontes externas, procurando conteúdo inesperado com aparência de template.
- Mantenha um inventário das versões do mise em estações de desenvolvimento e runners de CI para identificar sistemas abaixo da versão corrigida.
Limitações das informações disponíveis
- O registro não possui dados estruturados de versões afetadas ou corrigidas, então o intervalo de versões depende do texto da descrição.
- A probabilidade EPSS é 0,00685, mas o EPSS estima a probabilidade de exploração e não substitui a avaliação de severidade.
- O registro não informa se o modo paranoico previne totalmente o problema. Isso é desconhecido com os dados disponíveis.
Perguntas frequentes
Quais versões do mise são afetadas?
Segundo a descrição do registro, versões anteriores à 2026.3.10 são afetadas. A lista estruturada de versões afetadas está vazia, então confirme o intervalo no aviso do GitHub.
Há exploração conhecida desta vulnerabilidade na natureza?
O registro indica que esta CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.