CVE-2025-66032

Krytyczne

Opublikowano: 03/12/2025(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Claude Code przed wersją 1.0.93 zawiera błąd w parsowaniu komend powłoki związany z $IFS i krótkimi flagami CLI, co pozwala ominąć walidację trybu tylko do odczytu i wykonać dowolny kod. Wymaga to dodania nieufnej treści do kontekstu Claude Code.

Ocena ryzyka

Atakujący może wykonać dowolny kod w kontekście użytkownika, co może prowadzić do przejęcia sesji lub kompromitacji środowiska programistycznego.

Rekomendacja

Zaktualizuj Claude Code do wersji 1.0.93 lub nowszej. Unikaj dodawania niezweryfikowanych treści do kontekstu.

Oryginalny opis (angielski, źródło NVD)

Claude Code is an agentic coding tool. Prior to 1.0.93, Due to errors in parsing shell commands related to $IFS and short CLI flags, it was possible to bypass the Claude Code read-only validation and trigger arbitrary code execution. Reliably exploiting this requires the ability to add untrusted content into a Claude Code context window. This vulnerability is fixed in 1.0.93.