PT-2026-116154 · Anthropic · Claude Agent Sdk
CVE-2026-96620
·
تاريخ النشر
2026-10-16
·
تاريخ التحديث
2026-10-16
CVSS v4.0
9.2
حرجة
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Claude Agent SDK الإصدارات السابقة لـ 0.2.121
الوصف
توجد مشكلة حيث يتم تمرير خيار
resume إلى Claude CLI كرمز منفصل دون تحقق. يسمح هذا بتفسير القيمة التي تبدأ بشرطة كعلامة CLI مستقلة. يمكن للمهاجم حقن علامة --mcp-config لتعريف خادم MCP stdio، مما يؤدي إلى تنفيذ أوامر عشوائية عند بدء تشغيل CLI وتجاوز ضوابط أذونات SDK. يحدث هذا عندما يقوم تطبيق بتمرير مدخلات غير موثوقة كمعرف جلسة للاستئناف.التوصيات
التحديث إلى الإصدار 0.2.121.
إصلاح
Argument Injection
RCE
OS Command Injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Claude Agent Sdk