CVE-2026-30302 in CodeRider-Kilo
Riassunto
di VulDB • 17/06/2026
Il modulo di approvazione automatica dei comandi in CodeRider-Kilo presenta una vulnerabilità di OS Command Injection, che rende inefficace il proprio meccanismo di sicurezza basato su whitelist. La vulnerabilità deriva dall'uso errato di un parser di comandi incompatibile (la libreria shell-quote basata su Unix) per analizzare i comandi sulla piattaforma Windows, unito alla mancata gestione corretta delle sequenze di escape specifiche di Windows CMD (^). Gli attaccanti possono sfruttare questa discrepanza tra la logica di parsing e l'ambiente di esecuzione costruendo payload come `git log ^" & malicious_command ^"`. Il parser di CodeRider-Kilo viene ingannato dai caratteri di escape, interpretando erroneamente il connettore di comando malevolo (&) come parte di un argomento di stringa protetta, approvando così automaticamente il comando. Tuttavia, l'interprete Windows CMD sottostante ignora le virgolette escape, analizzando ed eseguendo direttamente il comando malevolo successivo. Ciò consente agli attaccanti di ottenere un'esecuzione arbitraria di codice in modalità remota (RCE) dopo aver aggirato quello che sembra essere un controllo di whitelist Git legittimo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.