Roo Code: Fehlerhafte Befehlsauswertung ermöglicht Ausführung zusätzlicher Kommandos

Beschreibung

Im KI-gestützten Coding-Agenten Roo Code werden in Versionen vor 3.26.0 bei der Befehlsauswertung die Bash-Parametererweiterung und indirekte Referenzen nicht korrekt behandelt. War der Agent so konfiguriert, dass er die Ausführung bestimmter Befehle automatisch genehmigt, konnte ein Angreifer, der Eingabeaufforderungen beeinflussen kann, diese Schwäche ausnutzen, um neben dem beabsichtigten Befehl weitere beliebige Kommandos auszuführen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Caddy

• Zammad: Session-Fixation-Lücke ermöglicht Remote Code Execution KEV CVE-2026-102489
• F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability KEV CVE-2026-94127
• Google Pixel Improper Authorization Vulnerability KEV CVE-2026-58704
• Check Point Quantum Security Gateway – Unzureichende Zertifikatsprüfung bei VPN-Verhandlung KEV CVE-2026-85102
• Google Chromium V8 – Out-of-Bounds Write KEV CVE-2026-87491
• Adobe Commerce – Template-Engine-Schwachstelle ermöglicht Codeausführung KEV CVE-2026-75650