CVE-2026-30303 in MatterAI
Riassunto
di VulDB • 14/06/2026
Il modulo di approvazione automatica dei comandi in Axon Code presenta una vulnerabilità OS Command Injection, che rende inefficace il proprio meccanismo di sicurezza basato su whitelist. La vulnerabilità deriva dall'uso errato di un parser di comandi incompatibile (la libreria shell-quote basata su Unix) per analizzare i comandi sulla piattaforma Windows, unito alla mancata gestione corretta delle sequenze di escape specifiche di Windows CMD (^). Gli attaccanti possono sfruttare questa discrepanza tra la logica di parsing e l'ambiente di esecuzione costruendo payload come `git log ^" & malicious_command ^"`. Il parser Axon Code viene ingannato dai caratteri di escape, interpretando erroneamente il connettore del comando malevolo (&) come parte di un argomento stringa protetta, approvando così automaticamente il comando. Tuttavia, l'interprete Windows CMD sottostante ignora le virgolette con escape, analizzando ed eseguendo direttamente il successivo comando dannoso. Ciò consente agli attaccanti di ottenere una Remote Code Execution (RCE) arbitraria dopo aver aggirato quello che sembra essere un controllo della whitelist Git legittimo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.