CVE-2026-110205

Nome do Software Vulnerável e Versões Afetadas Roo Code versões anteriores a 3.54.1

Descrição Existe uma falha de bypass de aprovação de comando na função parseCommandLine(). O problema ocorre quando substituições de comando são colocadas próximas a caracteres glob * ou ?, fazendo com que sejam descartadas durante a análise. Um invasor pode utilizar injeção indireta de prompt para criar comandos, como echo *$(...), que parecem corresponder a prefixos permitidos. Isso permite a execução de comandos negados sem a aprovação do usuário quando o recurso de aprovação automática está ativado.

Recomendações Atualize o Roo Code para a versão 3.54.1 ou posterior. Como medida de mitigação temporária, desative o recurso de aprovação automática para garantir que todos os comandos exijam a confirmação manual do usuário.