PT-2026-111827
CVE-2026-110203
·
تاريخ النشر
2026-10-13
·
تاريخ التحديث
2026-10-13
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Roo Code الإصدارات السابقة لـ 3.54.1
الوصف
يوجد تجاوز للموافقة على الأوامر نتيجة إساءة استخدام تعبيرات regex الخاصة بقناع الاقتباس داخل دالة
parseCommandLine(). يسمح هذا للمهاجمين باستخدام حقن المطالبة غير المباشر (indirect prompt injection)—وهي تقنية يتم فيها تضمين تعليمات خبيثة في البيانات التي يعالجها النظام—باستخدام علامات اقتباس مزدوجة مهربة أو موضوعة بين علامات اقتباس مفردة. ومن خلال إخفاء فاصل الأوامر خلف بادئات مسموح بها مثل echo، يمكن تنفيذ أوامر shell غير مصرح بها دون موافقة المستخدم.التوصيات
تحديث Roo Code إلى الإصدار 3.54.1 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد استخدام دالة
parseCommandLine() إذا كان ذلك ممكناً. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾