CVE-2026-110204

Nome do Software Vulnerável e Versões Afetadas Roo Code versões anteriores a 3.54.1

Description Existe uma falha de bypass de aprovação de comando onde a função parseCommandLine() trata incorretamente substituições ${ command; } como expansões de parâmetros. Isso permite que atacantes usem injeção indireta de prompt para embutir comandos negados dentro de um comando permitido, como echo, possibilitando a execução de comandos de shell não autorizados sem a aprovação do usuário no bash 5.3+ ou ksh93.

Recommendations Atualize o Roo Code para a versão 3.54.1 ou posterior. Como mitigação temporária, restrinja o uso da função parseCommandLine() ou evite a execução de comandos em ambientes bash 5.3+ ou ksh93 até que a atualização seja aplicada.