CVE-2025-58371— Roo Code 操作系统命令注入漏洞
Possible ATT&CK Techniques 3AI
T1059 · Command and Scripting Interpreter T1190 · Exploit Public-Facing Application T1595 · Active Scanning新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2025-58371の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Roo Code is vulnerable to command injection via GitHub actions workflow
ソース: CVE Program / CVE List V5
脆弱性説明
Roo Code is an AI-powered autonomous coding agent that lives in users' editors. In versions 3.26.6 and below, a Github workflow used unsanitized pull request metadata in a privileged context, allowing an attacker to craft malicious input and achieve Remote Code Execution (RCE) on the Actions runner. The workflow runs with broad permissions and access to repository secrets. It is possible for an attacker to execute arbitrary commands on the runner, push or modify code in the repository, access secrets, and create malicious releases or packages, resulting in a complete compromise of the repository and its associated services. This is fixed in version 3.26.7.
ソース: CVE Program / CVE List V5
CVSS情報
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N
ソース: CVE Program / CVE List V5
脆弱性タイプ
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
ソース: CVE Program / CVE List V5
脆弱性タイトル
Roo Code 操作系统命令注入漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
Roo Code是Roo Code公司的一款基于AI的自主编码代理。 Roo Code 3.26.6及之前版本存在操作系统命令注入漏洞，该漏洞源于工作流未清理输入，可能导致远程代码执行。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| RooCodeInc | Roo-Code | < 3.26.7 | - |
II. CVE-2025-58371の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2025-58371のインテリジェンス情報
请登录查看更多情报信息。
Same Patch Batch · RooCodeInc · 2025-09-05 · 4 CVEs total
| CVE-2025-58370 | 8.1 HIGH | Roo Code: Potential Remote Code Execution via Bash Parameter Expansion and Indirect Refere |
| CVE-2025-58372 | 8.1 HIGH | Roo Code: Potential Remote Code Execution via .code-workspace |
| CVE-2025-58373 | 5.5 MEDIUM | Roo Code: Symlink-bypass of .rooignore can lead to unintended file disclosure |
IV. 関連脆弱性
同じ製品: Roo-Code
- CVE-2026-63108
Roo Code 3.54.0 Command Injection via Parameter Expansion Pa - CVE-2025-65946
Roo Code is Vulnerable to Potential Remote Code Execution vi - CVE-2025-58374
Roo Code: Auto-approve allows npm install execution of malic - CVE-2025-58373
Roo Code: Symlink-bypass of .rooignore can lead to unintende - CVE-2025-58372
Roo Code: Potential Remote Code Execution via .code-workspac
同じベンダー: RooCodeInc
- CVE-2026-63108
Roo Code 3.54.0 Command Injection via Parameter Expansion Pa - CVE-2025-65946
Roo Code is Vulnerable to Potential Remote Code Execution vi - CVE-2025-58374
Roo Code: Auto-approve allows npm install execution of malic - CVE-2025-58373
Roo Code: Symlink-bypass of .rooignore can lead to unintende - CVE-2025-58372
Roo Code: Potential Remote Code Execution via .code-workspac
同じ弱点: CWE-78
- CVE-2026-66902
Google::Auth versions before 0.06 for Perl run a command nam - CVE-2026-16793
Remote Command Injection via OS Profile Password in Lenovo X - CVE-2026-6837
Zyxel wax650s firmware 命令注入漏洞 - CVE-2026-18641
Sangfor Operation and Maintenance Security Management System - CVE-2026-67599
ClearOS 7.9 OS Command Injection via Log Viewer filter param
V. CVE-2025-58371へのコメント
まだコメントはありません