Thelicato

**Name of the Vulnerable Software and Affected Versions** Roo Code versions 3.25.23 and below **Description** Roo Code is an AI-powered autonomous coding agent. Versions 3.25.23 and below include `npm install` in a default list of auto-approved commands. Because `npm install` executes lifecycle scripts, a malicious `package.json` file with a malicious `postinstall` script could be executed automatically without user approval, potentially leading to arbitrary code execution. **Recommendations** Update to version 3.26.0 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Roo Code 3.25.23 e anteriores **Descrição** O Roo Code, um agente de codificação autônomo baseado em IA, é vulnerável a uma falha na qual os arquivos de configuração de workspace do VS Code (.code-workspace) não possuem a mesma proteção que os arquivos dentro da pasta .vscode. Se o agente estiver configurado para aprovação automática de gravações de arquivos, um atacante que explore injeção de prompt poderia introduzir configurações ou tarefas maliciosas no workspace. Ao reabrir o workspace, essas tarefas poderiam executar código arbitrário. **Recomendações** Atualize para a versão 3.26.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Roo Code 3.25.23 e anteriores **Descrição** O Roo Code, um agente de codificação autônomo baseado em IA, é suscetível a um contorno de suas proteções `.rooignore` ao utilizar symlinks. Isso permite que um atacante com acesso de escrita ao workspace leia arquivos destinados a serem excluídos. Consequentemente, arquivos sensíveis, como `.env` ou arquivos de configuração, podem ser expostos. Um atacante que modifique arquivos dentro do workspace pode obter acesso não autorizado a informações sensíveis contornando as regras `.rooignore`, potencialmente incluindo segredos e detalhes de configuração. **Recomendações** Atualize para a versão 3.26.0 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões anteriores à 1.6.2 do plugin SearchWP Live Ajax Search para WordPress **Descrição** A vulnerabilidade permite que usuários não autenticados realizem uma consulta maliciosamente criada, divulgando títulos de posts privados, em rascunho e pendentes, juntamente com seus permalinks, uma vez que não limita os resultados da pesquisa em tempo real apenas a posts publicados. **Recomendações** Para versões anteriores à 1.6.2, atualize para a versão 1.6.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de pesquisa em tempo real até que a atualização seja aplicada.