CVE-2026-55441

mise; node, python, cmake ve terraform gibi geliştirici araçlarını yönetir. 2026.6.4 sürümünden önce, mise'nin güven özelliği yapılandırma dosyalarını (mise.toml, .tool-versions) trust_check aracılığıyla denetlerken, task-include dosyaları bu denetime hiç uğramayan bir yoldan yüklenmektedir. Bir dizinde task-include dizini (mise-tasks/, .mise/tasks/, …) olduğunda ancak yapılandırma dosyası bulunmadığında, mise varsayılan eklemelere geri döner ve her görevin tera alanlarını işler; bu tera ortamında ise exec() kayıtlıdır. İşlenen herhangi bir alandaki {{ exec(command='…') }} ifadesi, görevlerin yalnızca listelendiği anda rastgele komutlar çalıştırır. Denetlenecek bir yapılandırma dosyası olmadığı için hiçbir zaman güven istemi görünmez. Salt okunur komutlar bunu tetikler: mise tasks, mise task ls, mise run, mise tasks --usage (kabuk tamamlaması sorgusu Tab tuşuna basıldığında çalışır). Mağdurun tek yapması gereken klonlanmış bir depoya cd ile girmek ve bir görevi listelemek veya sekme ile tamamlamaktır. Bu güvenlik açığı 2026.6.4 sürümünde giderilmiştir.