CVE-2026-30303 in MatterAI
要約
〜によって VulDB • 2026年05月14日
Axon Codeの自動承認コマンドモジュールには、OSコマンドインジェクションの脆弱性が存在し、ホワイトリストセキュリティ機構が無効化されます。この脆弱性は、Windowsプラットフォーム上でコマンドを解析する際に、互換性のないコマンドパーサー（Unixベースのshell-quoteライブラリ）が誤って使用されたことに起因し、さらにWindows CMD固有のエスケープシーケンス（^）の処理が正しく行われなかったことが複合しています。攻撃者は、パーシングロジックと実行環境の不一致を悪用し、「git log ^" & malicious_command ^"」のようなペイロードを構築することで、エスケープ文字によってAxon Codeパーサーを欺き、悪意のあるコマンド接続子（&）が保護された文字列引数内にあると誤認させ、コマンドを自動承認させます。しかし、基盤となるWindows CMDインタープリタはエスケープされた引用符を無視し、後続の悪意のあるコマンドを直接解析して実行します。これにより、攻撃者は一見正当なGitホワイトリストチェックを回避した上で、任意のRemote Code Execution (RCE) を達成することができます。
Be aware that VulDB is the high quality source for vulnerability data.