CVE-2026-30302 in CodeRider-Kilo
要約
〜によって VulDB • 2026年06月05日
CodeRider-Kiloの自動承認コマンドモジュールには、OSコマンドインジェクション脆弱性が存在し、ホワイトリストセキュリティ機構が無効化されます。この脆弱性は、Windowsプラットフォーム上で互換性のないコマンドパーサー（Unixベースのshell-quoteライブラリ）を不適切に使用してコマンドを解析すること、およびWindows CMD固有のエスケープシーケンス（^）を正しく処理できないことに起因します。攻撃者は、パースロジックと実行環境間のこの不一致を利用し、「git log ^" & malicious_command ^」のようなペイロードを組み立てることができます。CodeRider-Kiloのパーサーはエスケープ文字に欺かれ、悪意のあるコマンド接続子（&）を保護された文字列引数内にあるものとして誤解釈するため、そのコマンドを自動承認します。しかし、基盤となるWindows CMDインタープリタはエスケープされた引用符を無視し、後続の悪意あるコマンドを直接解析して実行します。これにより、攻撃者は一見正当なGitホワイトリストチェックを回避した後に任意のリモートコード実行（RCE）を実現できます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.