CVE-2025-53097

Roo Code, yapay zeka destekli otonom bir kodlama aracıdır. Versiyon 3.20.3 öncesinde, Roo Code aracının `search_files` aracının, VS Code çalışma alanı dışındaki okumaları devre dışı bırakan ayara uymadığına dair bir sorun vardı. Bu durum, araca istem (prompt) enjekte edebilen bir saldırganın potansiyel olarak hassas bir dosyayı okuyabileceği ve ardından bu bilgiyi bir JSON şemasına yazabileceği anlamına gelmektedir. Kullanıcıların VS Code'da şema getirmeyi devre dışı bırakma seçeneği vardır ancak bu özellik varsayılan olarak etkindir. Bu özelliğin etkin olduğu kullanıcılar için şemaya yazma işlemi, kullanıcının reddetme şansı olmadan bir ağ isteğini tetikler. Saldırganın halihazırda araca istem gönderebiliyor olmasını gerektirdiğinden, bu sorun orta seviyede ciddiyete sahiptir. Versiyon 3.20.3, `search_files` aracının erişimi çalışma alanı ile sınırlayan ayara uymaması sorununu gidermiştir. Bu, bir saldırganın istem enjeksiyonu veya başka bir vektör aracılığıyla aracın kontrolünü ele geçirebilmesi durumunda oluşabilecek zararın kapsamını azaltmaktadır.