CVE-2025-65099

Krytyczne

Opublikowano: 19/11/2025(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Claude Code przed wersją 1.0.39, gdy działa na maszynie z Yarn 3.0 lub nowszym, może zostać oszukany do wykonania kodu zawartego w projekcie poprzez wtyczki Yarn, zanim użytkownik zaakceptuje okno zaufania przy starcie. Wymaga to uruchomienia Claude Code w niezaufanym katalogu i używania Yarn 3.0+.

Ocena ryzyka

Użytkownik może nieświadomie wykonać złośliwy kod z projektu, co może prowadzić do naruszenia bezpieczeństwa środowiska deweloperskiego.

Rekomendacja

Zaktualizuj Claude Code do wersji 1.0.39 lub nowszej i unikaj uruchamiania w niezaufanych katalogach.

Oryginalny opis (angielski, źródło NVD)

Claude Code is an agentic coding tool. Prior to version 1.0.39, when running on a machine with Yarn 3.0 or above, Claude Code could have been tricked to execute code contained in a project via yarn plugins before the user accepted the startup trust dialog. Exploiting this would have required a user to start Claude Code in an untrusted directory and to be using Yarn 3.0 or above. This issue has been patched in version 1.0.39.