CVE-2026-30302 in CodeRider-Kilo
Сводка
по VulDB • 01.06.2026
Модуль автоматического одобрения команд в CodeRider-Kilo содержит уязвимость OS Command Injection, что делает неэффективным механизм безопасности на основе белого списка. Уязвимость возникает из-за некорректного использования несовместимого парсера команд (библиотеки shell-quote, основанной на Unix) для анализа команд в среде Windows, а также из-за неспособности правильно обрабатывать специфичные для Windows CMD последовательности экранирования (^). Злоумышленники могут эксплуатировать это несоответствие между логикой парсинга и средой выполнения, конструируя полезную нагрузку, такую как `git log ^" & malicious_command ^"`. Парсер CodeRider-Kilo обманывается символами экранирования, ошибочно интерпретируя разделитель команд (&) как часть защищенной строки аргумента, и, следовательно, автоматически одобряет команду. Однако базовый интерпретатор Windows CMD игнорирует экранированные кавычки, парсит и выполняет последующую вредоносную команду напрямую. Это позволяет злоумышленникам достичь произвольного выполнения кода в удаленном режиме (RCE) после обхода проверки белого списка Git, которая выглядит легитимной.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.