🇰🇷 한글 설명
mise 개발 도구 관리자가 신뢰도 검사 이전에 로컬 프로젝트 .mise.toml 파일을 로드하는 취약점. 공격자가 악의적인 .mise.toml을 저장소에 삽입하면 신뢰된 것으로 간주되어 [env] _.source, templates, hooks, tasks 등 위험한 지시문을 실행할 수 있습니다.
💡 쉬운 설명
mise 설정 관리자가 보안 확인 전에 프로젝트 설정을 읽어서 발생하는 문제입니다. 악성 설정 파일이 저장소에 들어가면 자동으로 위험한 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
mise manages dev tools like node, python, cmake, and terraform. From 2026.2.18 through 2026.4.5, mise loads trust-control settings from a local project .mise.toml before the trust check runs. An attacker who can place a malicious .mise.toml in a repository can make that same file appear trusted and then reach dangerous directives such as [env] _.source, templates, hooks, or tasks.
📍 영향받는 시스템
mise 버전 2026.2.18 ~ 2026.4.5
⚔️ 공격 벡터
악성 .mise.toml 파일을 Git 저장소에 커밋하여 체크아웃 또는 풀 시 자동 실행
🛡️ 대응 방법
mise를 2026.4.6 이상으로 업데이트 또는 .mise.toml 파일 신뢰 설정 수동 검증
🔧 검증 코드
2026.2.18~2026.4.5 버전이 출력되면 취약하며, 2026.4.6 이상이면 패치됨
mise --version 2>/dev/null | grep -oE '2026\.(2\.[1-9]|3\.|4\.[0-5])'