CVE-2026-110206

Nome do Software Vulnerável e Versões Afetadas Roo Code versões anteriores a 3.54.1

Description Existe uma falha de bypass de aprovação de comando na função parseCommandLine(). Este problema permite que atacantes auto-aprovem comandos de shell arbitrários ao colocar uma substituição de comando na posição do comando. Ao utilizar injeção de prompt indireta, um atacante pode enviar comandos como $(echo touch /tmp/x) que ignoram a verificação da allowlist do echo, fazendo com que o shell execute a saída sem a aprovação do usuário.

Recommendations Atualize o Roo Code para a versão 3.54.1 ou posterior. Como medida paliativa temporária, restrinja o uso da função parseCommandLine() para minimizar o risco de exploração.