PT-2026-61688
CVE-2026-63108
·
تاريخ النشر
2026-07-20
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Roo Code الأقدم من 3.54.1
الوصف
توجد مشكلة في حقن الأوامر في ميزة التنفيذ التلقائي (auto-approve execute). يمكن للمهاجمين تجاوز تطبيق قوائم السماح والرفض عن طريق تضمين استبدالات الأوامر ضمن الإعدادات الافتراضية لتوسيع المعلمات. يقوم محلل الأوامر في
parse-command.ts باستبدال توسعات المعلمات بعناصر نائبة غير شفافة قبل استخراج استبدالات الأوامر. تؤدي هذه العملية إلى تجاهل الحارس containsDangerousSubstitution() للحمولات المتداخلة، والتي يتم بعد ذلك الموافقة عليها تلقائيًا استنادًا إلى بادئة الأمر الخارجية المدرجة في قائمة السماح، ويتم تنفيذها بواسطة shell عبر execa، مما يسمح بتنفيذ أوامر تعسفية.التوصيات
تحديث Roo Code إلى إصدار أحدث من 3.54.0.
كإجراء تخفيفي مؤقت، قم بتعطيل ميزة التنفيذ التلقائي حتى يتم تطبيق التحديث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾