CVE-2026-35603

Name of the Vulnerable Software and Affected Versions Claude Code versões anteriores a 2.1.75

Description No Windows, o software carrega a configuração padrão do sistema do endpoint 'C:ProgramDataClaudeCodemanaged-settings.json' sem validar a propriedade do diretório ou as permissões de acesso. Como o diretório ProgramData é gravável por usuários não administradores por padrão e o subdiretório ClaudeCode não foi pré-criado ou teve seu acesso restringido, um usuário local de baixo privilégio poderia criar este diretório e inserir um arquivo de configuração malicioso. Este arquivo seria então carregado automaticamente para qualquer usuário que iniciasse a ferramenta na mesma máquina multiusuário compartilhada.

Recommendations Atualize para a versão 2.1.75 ou posterior.