CVE-2026-110203

Nome do Software Vulnerável e Versões Afetadas Roo Code versões anteriores a 3.54.1

Descrição Existe uma falha de bypass de aprovação de comando devido ao abuso de regex de mascaramento de aspas na função parseCommandLine(). Isso permite que atacantes utilizem injeção indireta de prompt—uma técnica onde instruções maliciosas são incorporadas em dados processados pelo sistema—usando aspas duplas escapadas ou entre aspas simples. Ao ocultar separadores de comando atrás de prefixos permitidos, como echo, comandos de shell não autorizados podem ser executados sem a aprovação do usuário.

Recomendações Atualize o Roo Code para a versão 3.54.1 ou posterior. Como medida de mitigação temporária, restrinja o uso da função parseCommandLine() se possível.