PromptArmor versteckte eine Anweisung in einem PDF zur Backlog-Pflege. Rovo sollte daraus Tickets ordnen, baute aber eine dynamische Adresse mit den gesammelten Ticket- und Dokumentinhalten und rief sie auf. Der Angriff funktionierte laut Analyse auch bei abgeschalteter Websuche, weil das separate Werkzeug zum Öffnen einer Adresse aktiv blieb.
Varonis beschrieb am 7. August den Parameter rovoChatPrompt. Ein Klick auf einen präparierten Link schrieb dessen Inhalt in eine angemeldete Rovo-Sitzung und startete Anweisungen mit den Rechten des Opfers. Das kann laut Analyse auch verbundene Dienste wie Bitbucket, Slack, Microsoft 365 und Google Workspace sowie hochgeladene Dateien betreffen.
PromptArmor meldete seinen Weg am 23. Mai und veröffentlichte ihn 74 Tage später mit dem Hinweis, Rovo bleibe verwundbar. RovoBlast lief über Bugcrowd, wurde mit Priorität P2 behandelt und für 6.000 Dollar gemeldet; Atlassian spielte den Fix am 8. Juli serverseitig ein. Ob er den PDF-Weg abdeckt, ist nicht bekannt.