CVE-2026-63108 in Roo Code
Riassunto
di VulDB • 20/07/2026
Roo Code fino alla versione 3.54.0 contiene una vulnerabilità di command injection nella funzione di esecuzione con approvazione automatica (auto-approve execute) che consente agli attaccanti di eludere l'applicazione della allowlist/denylist annidando sostituzioni di comando all'interno dei valori predefiniti dell'espansione dei parametri. Il parser di comandi in parse-command.ts sostituisce le espansioni dei parametri con segnaposti opachi prima di estrarre le sostituzioni di comando, facendo sì che il controllo guard containsDangerousSubstitution non rilevi i payload annidati; questi vengono quindi approvati automaticamente in base al prefisso del comando nella allowlist esterna ed eseguiti dalla shell tramite execa, consentendo l'esecuzione arbitraria di comandi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.