CVE-2025-58371

Roo Code istifadəçilərin redaktorlarında fəaliyyət göstərən süni intellekt əsaslı avtonom kodlaşdırma agentidir. Versiya 3.26.6 və daha aşağı versiyalarda, bir Github workflow-u imtiyazlı kontekstdə təmizlənməmiş pull request metadata-sından istifadə edirdi ki, bu da hücumçuya zərərli girişlər hazırlamağa və Actions runner-də uzaqdan kodun icrasını (RCE) həyata keçirməyə imkan verirdi. Workflow geniş icazələrlə və repozitoriyanın gizli məlumatlarına (secrets) çıxışla işləyir. Hücumçunun runner üzərində ixtiyari əmrləri icra etməsi, repozitoriyada kodu göndərməsi və ya dəyişdirməsi, gizli məlumatlara daxil olması, habelə zərərli buraxılışlar (releases) və ya paketlər yaratması mümkündür ki, bu da repozitoriyanın və onunla əlaqəli xidmətlərin tamamilə kompromisə uğramasına səbəb olur. Bu problem 3.26.7 versiyasında düzəldilmişdir.