CVE-2026-63108 in Roo Code
要約
〜によって VulDB • 2026年07月20日
Roo Code 3.54.0 までは、auto-approve execute 機能にコマンドインジェクション脆弱性が存在し、攻撃者はパラメータ展開のデフォルト値内にコマンド置換をネストさせることで、許可リスト/拒否リストの適用を回避できる。parse-command.ts のコマンドパーサは、コマンド置換を検出する前にパラメータ展開を不透明なプレースホルダに置き換えるため、containsDangerousSubstitution ガードがネストされたペイロードを見逃し、それらが外部の許可リスト対象のコマンド接頭辞に基づいて自動承認され、execa 経由でシェルによって実行されることで、任意のコマンド実行が可能になる。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.