CVE-2026-110206

Roo Code do wersji 3.54.0 zawiera podatność na obejście zatwierdzania poleceń w parseCommandLine(), która odrzuca podstawienia poleceń umieszczone obok znaków glob * lub ?. Atakujący stosujący pośrednią iniekcję promptu mogą tworzyć polecenia takie jak echo *$(...), które pasują do dozwolonych prefiksów, wykonując zabronione polecenia bez zatwierdzenia użytkownika, gdy włączone jest automatyczne zatwierdzanie.

Roo Code do wersji 3.54.0 zawiera podatność na obejście zatwierdzania poleceń, która pozwala atakującym na uruchamianie zabronionych poleceń powłoki, ponieważ parseCommandLine() traktuje podstawienia ${ command; } jako rozwinięcia parametrów. Atakujący stosujący pośrednią iniekcję promptu mogą osadzić zabronione polecenia wewnątrz dozwolonego polecenia, takiego jak echo, aby wykonać je bez zatwierdzenia użytkownika na bash 5.3+ lub ksh93.

Roo Code do wersji 3.54.0 zawiera podatność na obejście zatwierdzania poleceń, która pozwala atakującym na automatyczne zatwierdzanie zabronionych poleceń powłoki poprzez nadużywanie regexu maskującego cudzysłowy w parseCommandLine(). Atakujący mogą użyć pośredniej iniekcji promptu z uciekającymi lub pojedynczo cytowanymi podwójnymi cudzysłowami, aby ukryć separatory poleceń za dozwolonymi prefiksami, takimi jak echo, wykonując polecenia bez zatwierdzenia użytkownika.

Roo Code do wersji 3.54.0 zawiera podatność obejścia zatwierdzania poleceń w funkcji getCommandDecision(), która pozwala atakującym na automatyczne zatwierdzanie odrzuconych poleceń powłoki poprzez poprzedzenie ich zwykłym przekierowaniem >&. Atakujący wykorzystujący pośrednie wstrzyknięcie promptu mogą sprawić, że lista dozwolonych poleceń dopasuje cel przekierowania, np. echo, podczas gdy powłoka wykonuje odrzucone polecenie na maszynie dewelopera.

Roo Code w wersjach 3.26.6 i niższych używa w swoim przepływie GitHub niesanityzowanych metadanych pull requestów w uprzywilejowanym kontekście, co pozwala atakującemu na zdalne wykonanie kodu (RCE) na runnerze Actions. Przepływ ma szerokie uprawnienia i dostęp do sekretów repozytorium, co może prowadzić do pełnej kompromitacji repozytorium i powiązanych usług.

Roo-Code do wersji 3.54.0 zawiera podatność obejścia automatycznego zatwierdzania, która pozwala atakującym na wykonanie zabronionych poleceń powłoki poprzez wykorzystanie niezgodności granic słów w obsłudze komentarzy między parserem powłoki bramki zatwierdzającej a bashem. Atakujący może skonstruować ciąg poleceń z dozwolonym słowem natychmiast po którym następuje znak hasha, separator i zabronione polecenie, aby przejść bramkę zatwierdzającą, podczas gdy bash wykonuje zabronione polecenie z uprawnieniami automatycznego wykonania agenta na maszynie dewelopera.

Roo-Code do wersji 3.54.0 zawiera podatność obejścia automatycznego zatwierdzania w logice parsowania poleceń powłoki, która pozwala atakującym na wykonanie zabronionych poleceń powłoki poprzez wykorzystanie pominięcia operatora potoku bash w zestawie tokenów operatorów parsera poleceń. Atakujący może skonstruować linię poleceń z dozwolonym prefiksem, po którym następuje operator potoku przekierowujący stderr i zabronione polecenie, powodując, że parser zatwierdza cały potok, podczas gdy bash wykonuje zabroniony komponent z uprawnieniami automatycznego wykonania agenta na maszynie dewelopera.

Podatność w RooCodeInc Roo-Code do wersji 3.51.1 dotyczy funkcji path.resolve w pliku src/core/tools/ApplyPatchTool.ts. Manipulacja powoduje path traversal. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Producent poinformował, że projekt nie jest już wspierany, więc podatność dotyczy tylko produktów, które nie są już wspierane przez opiekuna.

W Roo-Code do wersji 3.51.1 wykryto podatność w komponencie OAuth Callback (plik src/integrations/claude-code/oauth.ts), która powoduje przesyłanie wrażliwych informacji w postaci jawnego tekstu. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Projekt nie jest już wspierany przez autora.

Podatność w RooCodeInc Roo-Code do wersji 3.51.1 dotyczy funkcji fetch_instructions w pliku malicious_mcp_server.py w komponencie MCP Integration Trust Model. Manipulacja prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty. Producent poinformował, że projekt nie jest już wspierany, więc podatność dotyczy tylko produktów, które nie są już wspierane przez opiekuna.