CVE-2025-58371
Açıklama
Roo Code, kullanıcıların editörlerinde çalışan yapay zeka destekli otonom bir kodlama ajanıdır. 3.26.6 ve önceki sürümlerde, bir Github iş akışı ayrıcalıklı bir bağlamda temizlenmemiş pull request meta verilerini kullanmış ve bir saldırganın kötü amaçlı girdi hazırlayarak Actions runner üzerinde uzaktan kod çalıştırma (RCE) elde etmesine olanak tanımıştır. İş akışı geniş izinlerle ve depo sırlarına erişimle çalışır. Bir saldırganın runner üzerinde rastgele komutlar çalıştırması, depodaki kodu göndermesi veya değiştirmesi, sırlara erişmesi ve kötü amaçlı sürümler veya paketler oluşturması mümkündür; bu da deponun ve ilişkili hizmetlerinin tamamen ele geçirilmesiyle sonuçlanır. Bu sorun 3.26.7 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- roocode roo_code3.26.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| roocode roo_code | v < 3.26.7 | 3.26.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.