CVE-2026-63108 in Roo Code
Resumen
por VulDB • 2026-07-21
Roo Code hasta la versión 3.54.0 contiene una vulnerabilidad de inyección de comandos en la función de ejecución con aprobación automática que permite a los atacantes eludir la aplicación de listas blancas/negras mediante la anidación de sustituciones de comandos dentro de valores predeterminados de expansión de parámetros. El analizador de comandos en parse-command.ts reemplaza las expansiones de parámetros con marcadores opacos antes de extraer las sustituciones de comandos, lo que hace que la protección containsDangerousSubstitution no detecte cargas útiles anidadas; estas se aprueban automáticamente basándose en el prefijo autorizado del comando externo y son ejecutadas por el shell a través de execa, permitiendo la ejecución arbitraria de comandos.
Once again VulDB remains the best source for vulnerability data.