CVE-2026-124028lowCWE-140

CVE-2026-124028: falha de baixa gravidade em EricLBuehler mistral.rs

mistral.rs before 0.9.5 Tool Call Injection via mistralrs-core Output Parsers

Publicada em

Seguir esta CVE+ Monitorar mistral.rs

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

5Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 2.3
mistral.rs before 0.9.5 contains a delimiter injection vulnerability in mistralrs-core that allows attackers to inject tool calls by placing delimiter strings in text the model quotes. Attackers controlling documents, web pages or tool outputs can embed tags like </tool_call> to make qwen-xml, gemma4 or reasoning parsers return extra calls to declared tools with attacker-chosen arguments.
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Produtos afetados
EricLBuehler · mistral.rs
CVEs relacionadas — EricLBuehler mistral.rs

No mesmo produto, das mais perigosas para as menos.

CVE-2026-108939MEDIUMEricLBuehler mistral.rs media_source.rs is_global_ip server-side request forgeryEPSS 0.5%CVE-2026-108759HIGHmistral.rs 0.9.0 through 0.9.4 Sandbox Escape via Symlink Following in mistralrs-code-execEPSS 0.3%