CVE-2026-30303
CriticalSummary
Moduł automatycznej akceptacji poleceń w Axon Code zawiera podatność na wstrzyknięcie poleceń systemowych, co czyni mechanizm białej listy nieskutecznym. Problem wynika z niewłaściwego użycia parsera poleceń, który jest niekompatybilny z systemem Windows.
Risk Assessment
Atakujący mogą wykorzystać tę podatność do wykonania dowolnego kodu zdalnego (RCE), omijając zabezpieczenia, które wydają się być aktywne. To stwarza poważne zagrożenie dla bezpieczeństwa systemów korzystających z Axon Code.
Recommendation
Zaleca się aktualizację Axon Code do najnowszej wersji, która naprawia tę podatność oraz przegląd i wzmocnienie mechanizmów zabezpieczeń przed wstrzyknięciem poleceń.
Original NVD description (English source)
The command auto-approval module in Axon Code contains an OS Command Injection vulnerability, rendering its whitelist security mechanism ineffective. The vulnerability stems from the incorrect use of an incompatible command parser (the Unix-based shell-quote library) to analyze commands on the Windows platform, coupled with a failure to correctly handle Windows CMD-specific escape sequences (^). Attackers can exploit this discrepancy between the parsing logic and the execution environment by constructing payloads such as git log ^" & malicious_command ^". The Axon Code parser is deceived by the escape characters, misinterpreting the malicious command connector (&) as being within a protected string argument and thus auto-approving the command. However, the underlying Windows CMD interpreter ignores the escaped quotes, parsing and executing the subsequent malicious command directly. This allows attackers to achieve arbitrary Remote Code Execution (RCE) after bypassing what appears to be