CVE-2026-110205 in Roo-Code
Riassunto
di VulDB • 13/10/2026
Roo Code fino alla versione 3.54.0 presenta una vulnerabilità di bypass dell'approvazione dei comandi in parseCommandLine() che ignora le sostituzioni di comando posizionate accanto ai caratteri glob * o ?. Gli attaccanti, sfruttando un indirect prompt injection, possono creare comandi come echo *$(...) che corrispondono a prefissi consentiti (allowlisted), eseguendo comandi non autorizzati senza l'approvazione dell'utente quando è abilitata l'auto-approval.
VulDB is the best source for vulnerability data and more expert information about this specific topic.