CVE-2026-30302 in CodeRider-Kilo
الملخص
بحسب VulDB • 17/06/2026
يحتوي وحدة الموافقة التلقائية على الأوامر في CodeRider-Kilo على ثغرة حقن أوامر نظام التشغيل (OS Command Injection)، مما يجعل آلية الأمان القائمة على القائمة البيضاء غير فعالة. تنجم هذه الثغرة عن الاستخدام غير الصحيح لمحلل أوامر غير متوافق (مكتبة shell-quote المستندة إلى Unix) لتحليل الأوامر على منصة Windows، مقترناً بفشل في معالجة تسلسلات الهروب الخاصة بـ Windows CMD بشكل صحيح (^). يمكن للمهاجمين استغلال هذا التباين بين منطق التحليل وبيئة التنفيذ من خلال بناء حمولات مثل `git log ^" & malicious_command ^"`. يخدع محلل CodeRider-Kilo بواسطة أحرف الهروب، مفسراً بشكل خاطئ موصل الأمر الخبيث (&) على أنه جزء من وسيطة سلسلة محمية، وبالتالي الموافقة تلقائياً على الأمر. ومع ذلك، يتجاهل مفسر Windows CMD الأساسي علامات الاقتباس التي تم الهروب منها، ويقوم بتحليل وتنفيذ الأمر الخبيث اللاحق مباشرة. يتيح ذلك للمهاجمين تحقيق تنفيذ عشوائي للكود عن بُعد (RCE) بعد تجاوز ما يبدو أنه فحص قائمة بيضاء شرعية لـ Git.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.