事件经过
VulnCheck于2026-10-13发布了一组Roo Code命令审批绕过CVE（例如CVE-2026-110202，CVSS 8.8）。每个都是getCommandDecision()/parseCommandLine()中的不同缺陷：权限门仅分类部分Shell命令行，因此已批准的诸如“echo ”之类的前缀可以通过重定向、引号掩盖、${...}替换、通配符相邻命令替换或命令位置替换掩盖被拒绝的命令。受影响的解析器随后自动批准外部匹配，而Shell执行隐藏的有效负载。已通过NVD REST API验证（发布于2026-10-13，CVSS 8.8 v3.1，CWE-436）。
影响分析
这是已建立的bash权限绕过研究谱系中的新型代理执行攻击类别：任何具有可运行Shell命令工具的AI编码代理，在摄取不可信文本时都会变成远程控制的命令执行器。对于AI/安全团队而言，能够植入代理读取内容的攻击者可以静默窃取凭据、克隆仓库或从笔记本电脑横向移动——达到与已产生KEV列入和广泛利用的编码代理缺陷相同的代理信任失败类别。多CVE集群表明解析器在系统层面应对Shell元字符边缘情况方面存在薄弱。
攻击途径
间接提示注入：仓库文件、抓取页面或工具输出中的恶意内容指示代理运行Shell命令。攻击者构造命令（裸>&重定向前缀、引号掩盖分隔符、${...}替换、通配符相邻$()或命令位置$()），使允许列表/权限解析器自动批准该命令，而Shell在开发者机器上执行被拒绝的有效负载。
受影响系统
Roo Code（VS Code AI编码代理）至3.54.0；相关ID CVE-2026-110203/110204/110205/110206及相关parseCommandLine绕过
缓解措施
将Roo Code更新至3.54.0之后；窗口期内未声明固定版本。在修补之前，不要对不可信仓库运行代理，禁用Shell命令自动批准，并将工作区/抓取内容视为不可信。