rovr: OS-Command-Injection über manipulierte Dateinamen unter Windows

Zusammenfassung

rovr bis Version 0.10.3 ist ein Terminal-Dateimanager, der unter Windows eine OS-Command-Injection-Schwachstelle enthält. Ein Angreifer kann eine Datei mit Shell-Metazeichen wie & im Namen zusammen mit einer Schadlogik erstellen. Wird diese Datei vom Benutzer über die Funktion open_file geöffnet, werden die eingeschleusten Befehle mit den Rechten des Benutzers ausgeführt. Der Angreifer muss die manipulierte Datei dem Benutzer zukommen lassen, und der Benutzer muss sie in rovr öffnen.

Betroffen

• rovr 0 bis 0.10.3 unter Windows (Bereich laut CNA; VulDB listet 0.10.0, 0.10.1, 0.10.2 und 0.10.3)
• Frühere Versionen sind nicht bestätigt als nicht betroffen
• Andere Plattformen werden nicht als betroffen beschrieben

Behoben in

Unbekannt.

• Der OSV-Eintrag nennt 0.10.3 als behoben, doch 0.10.3 ist selbst als betroffen aufgeführt, daher handelt es sich wahrscheinlich um einen Datenfehler.
• Der Hersteller hat keine korrigierte Version bestätigt.

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme.
• Dateien aus unvertrauenswürdigen oder heruntergeladenen Ordnern nicht mit rovr unter Windows öffnen.
• Verdächtige Dateien mit einem anderen Werkzeug öffnen.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar 'no', technische Auswirkung 'total'.
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Exploit verifiziert; die Analyse des Melders war statisch und wurde nicht zur Laufzeit auf nativem Windows bestätigt.
• Der EPSS-Wert ist niedrig (0.01146).

Unsere Empfehlung

• Prüfen, ob rovr auf Windows-Geräten installiert ist (pip, uv, pipx, scoop oder als Standalone-Binary).
• rovr von Arbeitsstationen entfernen, auf denen es nicht benötigt wird, oder bis zu einer Korrektur auf einen anderen Dateimanager wechseln.
• Wo rovr weiterhin verwendet wird, Benutzer anweisen, Dateien aus unvertrauenswürdigen Quellen damit nicht zu öffnen.
• Das Upstream-Repository auf ein Release überwachen, das dieses Problem ausdrücklich behebt.
• Priorität: niedrig bis mittel; höher auf Entwickler- oder Administrationsgeräten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OSV record osv.dev
• VulnCheck advisory www.vulncheck.com
• rovr release v0.10.3 github.com
• rovr path.py (affected code, lines 115-158) github.com
• VulDB entry vuldb.com
• Strix CVE record (CNA mirror) www.strix.ai
• PyPI rovr 0.10.3 pypi.org
• HackMD reporter writeup hackmd.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:32.