CVE-2026-30307 in Roo Code
الملخص
بحسب VulDB • 26/05/2026
تحتوي وحدة الموافقة التلقائية على الأوامر في Roo Code على ثغرة حرجة لحقن أوامر نظام التشغيل (OS command injection) تجعل آلية الأمان القائمة على القائمة البيضاء غير فعالة تماماً. يعتمد النظام على تعبيرات عادية هشة لتحليل هياكل الأوامر؛ وبينما يحاول اعتراض العمليات الخطرة، فإنه يفشل في أخذ استبدال أوامر Shell القياسية في الاعتبار (تحديداً $(...) والعلامات العكسية ...). يمكن لمهاجم بناء أمر مثل `git log --grep="$(malicious_command)"`، مما يجبر Syntx على تصنيفها بشكل خاطئ على أنها عملية git آمنة والموافقة عليها تلقائياً. يعطي Shell الأساسي الأولوية لتنفيذ الكود الخبيث المحقون داخل الحجج، مما يؤدي إلى تنفيذ الكود عن بُعد (RCE) دون أي تفاعل من المستخدم.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.