CVE-2026-63108 in Roo Code
Zusammenfassung
von VulDB • 20.07.2026
Roo Code bis Version 3.54.0 enthält eine Command-Injection-Schwachstelle in der Funktion zur automatischen Genehmigung von Ausführungen (auto-approve execute), die es Angreifern ermöglicht, die Durchsetzung einer Allowlist/Denylist zu umgehen, indem Befehlsersetzungsbefehle (command substitutions) innerhalb der Standardwerte der Parametererweiterung verschachtelt werden. Der Befehlsparser in parse-command.ts ersetzt Parametererweiterungen durch undurchsichtige Platzhalter, bevor er Befehlsersetzungsbefehle extrahiert; dadurch wird die Schutzfunktion containsDangerousSubstitution dazu gebracht, verschachtelte Payloads zu übersehen, die anschließend basierend auf dem außenstehenden, in der Allowlist enthaltenen Befehlsprefix automatisch genehmigt und vom Shell-Skript via execa ausgeführt werden, was zur beliebigen Ausführung von Befehlen (arbitrary command execution) führt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.