PT-2025-27259 · Robocode+1 · Robocode+1
Maccarita
·
Publicado
2025-06-27
·
Atualizado
2025-09-15
·
CVE-2025-53097
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas:
Versões do Roo Code anteriores à 3.20.3
Descrição:
O problema diz respeito à ferramenta
search files do agente Roo Code, que não respeitava a configuração para desativar leituras fora do workspace do VS Code. Isso permitiu que um atacante, capaz de injetar um prompt no agente, potencialmente lesse um arquivo sensível e escrevesse a informação em um esquema JSON. O recurso para buscar esquemas está habilitado por padrão no VS Code, e escrever no esquema acionaria uma requisição de rede sem intervenção do usuário. O problema é de severidade moderada, exigindo que o atacante já seja capaz de enviar prompts ao agente.Recomendações:
Para versões anteriores à 3.20.3, atualize para a versão 3.20.3 para resolver o problema onde a ferramenta
search files não respeitava a configuração para limitá-la ao workspace. Como solução temporária, considere desativar a ferramenta search files ou o recurso de busca de esquemas no VS Code para minimizar o risco de exploração.Exploit
Correção
LPE
Special Elements Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Robocode
Vscode