CVE-2026-46406
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Claude Code w wersjach od 2.1.59 do 2.1.128 zapisuje odpowiedzi z komendy /copy do pliku /tmp/claude/response.md bez izolacji UID, losowości ani ochrony przed dowiązaniami symbolicznymi. Plik jest tworzony z uprawnieniami 0644 w katalogu o uprawnieniach 0755, co umożliwia każdemu lokalnemu użytkownikowi odczytanie odpowiedzi zawierających potencjalnie wrażliwe dane.
Ocena ryzyka
Lokalny atakujący bez uprawnień może odczytać odpowiedzi Claude zawierające sekrety lub dane uwierzytelniające, a także poprzez utworzenie dowiązania symbolicznego w przewidywalnej ścieżce spowodować nadpisanie dowolnego pliku na systemie.
Rekomendacja
Należy niezwłocznie zaktualizować Claude Code do wersji 2.1.128 lub nowszej, która zawiera naprawę tej podatności.
Inne podatności w Claude Code
Zobacz wszystkie- CVE-2026-54316Krytyczne
Podatność w narzędziu Claude Code (wersje od 0.2.54 do 2.1.163) polega na automatycznym zatwierdzaniu żądań WebFetch do domeny huggingface.co bez monitu o zgodę lub ograniczeń --allowedTools. Atakujący może wykorzystać to do wysyłania żądań do kontrolowanych przez siebie repozytoriów, co umożliwia utworzenie ukrytego kanału do eksfiltracji danych.
- CVE-2025-66032Krytyczne
Claude Code przed wersją 1.0.93 zawiera błąd w parsowaniu komend powłoki związany z $IFS i krótkimi flagami CLI, co pozwala ominąć walidację trybu tylko do odczytu i wykonać dowolny kod. Wymaga to dodania nieufnej treści do kontekstu Claude Code.
- CVE-2025-64755Krytyczne
Claude Code, narzędzie do kodowania agentowego, przed wersją 2.0.31 zawiera błąd w parsowaniu poleceń sed, który umożliwia obejście walidacji trybu tylko do odczytu i zapis do dowolnych plików na systemie hosta.
- CVE-2025-65099Krytyczne
Claude Code przed wersją 1.0.39, gdy działa na maszynie z Yarn 3.0 lub nowszym, może zostać oszukany do wykonania kodu zawartego w projekcie poprzez wtyczki Yarn, zanim użytkownik zaakceptuje okno zaufania przy starcie. Wymaga to uruchomienia Claude Code w niezaufanym katalogu i używania Yarn 3.0+.
- CVE-2026-55607Wysokie
Podatność w narzędziu Claude Code (wersje od 2.1.38 do 2.1.163) umożliwia atak przez manipulację worktree, w tym tworzenie worktree o nazwie ".git" i nawigację poza sandbox. Atakujący może nadpisać pliki w katalogu domowym użytkownika (np. .zshenv), co prowadzi do wykonania kodu poza ograniczeniami sandboxa.
- CVE-2026-40068Wysokie
W wersjach 2.1.63 do 2.1.83 Claude Code, logika określania zaufania folderów używała pliku commondir z worktree git bez walidacji jego zawartości. Atakujący mógł stworzyć złośliwe repozytorium z plikiem commondir wskazującym na wcześniej zaufaną ścieżkę ofiary, co powodowało ominięcie okna potwierdzenia zaufania i natychmiastowe wykonanie hooków zdefiniowanych w `.claude/settings.json`. Eksploatacja wymaga sklonowania złośliwego repozytorium i uruchomienia Claude Code w nim, a atakujący musi znać lub odgadnąć wcześniej zaufaną ścieżkę ofiary. Problem został naprawiony w wersji 2.1.84.
Oryginalny opis (angielski, źródło NVD)
Claude Code is an agentic coding tool. From 2.1.59 until 2.1.128, the Claude Code /copy command wrote responses to a hardcoded, predictable path (/tmp/claude/response.md) without UID isolation, randomness, or symlink protection. The file was created world-readable (0644) in a world-traversable directory (0755), allowing any local user to read a privileged user's Claude response, which could contain secrets or credentials. Additionally, because the path was static and predictable, a local attacker could pre-create the directory and plant a symlink at the expected file path, causing the privileged process to follow the symlink and overwrite an attacker-chosen file with the response text. Exploiting this required a local unprivileged user on the same system and a privileged user to run the /copy command. This vulnerability is fixed in 2.1.128.