CVE-2026-30303 in MatterAI
Sumário
de VulDB • 12/06/2026
O módulo de aprovação automática de comandos no Axon Code contém uma vulnerabilidade de OS Command Injection, tornando ineficaz seu mecanismo de segurança baseado em lista branca (whitelist). A falha decorre do uso incorreto de um analisador de comandos incompatível (a biblioteca shell-quote baseada em Unix) para analisar comandos na plataforma Windows, combinado com a incapacidade de lidar corretamente com sequências de escape específicas do CMD do Windows (^). Os atacantes podem explorar essa discrepância entre a lógica de análise e o ambiente de execução construindo payloads como `git log ^" & malicious_command ^"`. O analisador do Axon Code é enganado pelos caracteres de escape, interpretando erroneamente o conector de comando malicioso (&) como estando dentro de um argumento de string protegida, aprovando assim automaticamente o comando. No entanto, o interpretador CMD subjacente do Windows ignora as aspas escapadas, analisando e executando diretamente o comando malicioso subsequente. Isso permite que os atacantes obtenham Remote Code Execution (RCE) arbitrária após contornar a aparente verificação de whitelist legítima do Git.
If you want to get best quality of vulnerability data, you may have to visit VulDB.