PT-2026-111830 · Robocode · Robocode
CVSS v3.1
8.8
عالية
| المتجه | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
اسم البرنامج المصاب والإصدارات المتأثرة
Roo Code الإصدارات السابقة لـ 3.54.1
Description
يوجد خلل في تجاوز الموافقة على الأوامر في الدالة
parseCommandLine(). يسمح هذا الخلل للمهاجمين بالموافقة التلقائية على أوامر shell تعسفية عن طريق وضع استبدال للأمر في موضع الأمر. من خلال استخدام حقن المطالبة غير المباشر، يمكن للمهاجم إرسال أوامر مثل $(echo touch /tmp/x) التي تتجاوز فحص القائمة المسموح بها لـ echo مما يؤدي إلى تنفيذ shell للمخرجات دون موافقة المستخدم.Recommendations
تحديث Roo Code إلى الإصدار 3.54.1 أو أحدث.
كإجراء مؤقت، قم بتقييد استخدام الدالة
parseCommandLine() لتقليل مخاطر الاستغلال.استغلال
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Robocode