CVE-2026-96620

Nome do Software Vulnerável e Versões Afetadas Claude Agent SDK versões anteriores a 0.2.121

Descrição Existe um problema onde a opção resume é passada para a Claude CLI como um token separado sem validação. Isso permite que um valor começando com um hífen seja interpretado como uma flag de CLI independente. Um invasor pode injetar a flag --mcp-config para definir um servidor MCP stdio, resultando na execução de comandos arbitrários na inicialização da CLI, ignorando os controles de permissão do SDK. Isso ocorre quando uma aplicação passa entradas não confiáveis como o ID da sessão para retomar.

Recomendações Atualize para a versão 0.2.121.