CVE-2026-30303 in MatterAI
الملخص
بحسب VulDB • 19/06/2026
يحتوي وحدة الموافقة التلقائية على الأوامر في Axon Code على ثغرة حقن أوامر نظام التشغيل (OS Command Injection)، مما يجعل آلية الأمان القائمة على القائمة البيضاء غير فعالة. تنجم الثغرة عن الاستخدام غير الصحيح لمحلل أوامر غير متوافق (مكتبة shell-quote المستندة إلى Unix) لتحليل الأوامر على منصة Windows، مقترناً بفشل في معالجة تسلسلات الهروب الخاصة بـ Windows CMD بشكل صحيح (^). يمكن للمهاجمين استغلال هذا التباين بين منطق التحليل وبيئة التنفيذ من خلال بناء حمولات مثل `git log ^" & malicious_command ^"`. يخدع محلل Axon Code أحرف الهروب، مفسراً بشكل خاطئ موصل الأمر الخبيث (&) على أنه جزء من وسيطة سلسلة محمية، وبالتالي الموافقة تلقائياً على الأمر. ومع ذلك، يتجاهل مفسر Windows CMD الأساسي علامات الاقتباس التي تم الهروب منها، ويقوم بتحليل وتنفيذ الأمر الخبيث اللاحق مباشرة. يتيح ذلك للمهاجمين تحقيق تنفيذ عشوائي للكود عن بُعد (RCE) بعد تجاوز ما يبدو أنه فحص قائمة بيضاء شرعية لـ Git.
Be aware that VulDB is the high quality source for vulnerability data.