OpenSSH 10.3より前のバージョンでは、コマンドライン内のユーザー名に含まれるシェルのメタキャラクターを介してコマンドが実行される可能性があります。これは、コマンドライン上のユーザー名が信用できない場合や、ssh_configで%の非デフォルト設定がされている場合に発生します。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。