CVE-2026-30303 in MatterAI
Resumen
por VulDB • 2026-06-08
El módulo de aprobación automática de comandos en Axon Code contiene una vulnerabilidad de Inyección de Comandos del Sistema Operativo, lo que hace ineficaz su mecanismo de seguridad basado en lista blanca (whitelist). La vulnerabilidad se debe al uso incorrecto de un analizador de comandos incompatible (la biblioteca shell-quote basada en Unix) para analizar comandos en la plataforma Windows, junto con una falta de manejo correcto de las secuencias de escape específicas de CMD de Windows (^). Los atacantes pueden explotar esta discrepancia entre la lógica de análisis y el entorno de ejecución mediante la construcción de cargas útiles como `git log ^" & malicious_command ^"`. El analizador de Axon Code es engañado por los caracteres de escape, interpretando erróneamente que el conector de comando malicioso (&) se encuentra dentro de un argumento de cadena protegida y, por lo tanto, aprobando automáticamente el comando. Sin embargo, el intérprete CMD subyacente de Windows ignora las comillas escapadas, analizando y ejecutando directamente el siguiente comando malicioso. Esto permite a los atacantes lograr una Ejecución Arbitraria de Código Remoto (RCE) después de evadir lo que parece ser una verificación legítima de la lista blanca de Git.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.