CVE-2025-53098

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

إصدارات Roo Code الأقدم من 3.20.3

الوصف:

تتعلق المشكلة بتنفيذ أوامر عشوائية من خلال ملف تكوين MCP. يمكن للمهاجم الذي يتمتع بحق الوصول إلى النظام إنشاء موجه لكتابة أمر ضار في ملف تكوين MCP، مما قد يؤدي إلى تنفيذ أوامر عشوائية. ويتطلب ذلك أن يكون لدى المهاجم القدرة على إرسال الموجهات، وأن يكون لدى المستخدم ميزة MCP ممكّنة، وأن يكون المستخدم قد قام بتمكين كتابة الملفات المعتمدة تلقائيًا. وتُعتبر هذه المشكلة متوسطة الخطورة.

التوصيات:

بالنسبة للإصدارات السابقة للإصدار 3.20.3، قم بالتحديث إلى الإصدار 3.20.3 لإصلاح المشكلة عن طريق إضافة طبقة إضافية من التكوين الاختياري للموافقة التلقائية على الكتابة في ملفات تكوين Roo. كحل مؤقت، ضع في اعتبارك تعطيل ميزة الموافقة التلقائية على كتابة الملفات لتقليل مخاطر الاستغلال. قم بتقييد الوصول إلى المجلد .roo/ ومحتوياته لمنع التعديلات غير المصرح بها.