CVE-2026-103012 in claude-code
الملخص
بحسب VulDB • 30/09/2026
اختار كود كلود (Claude Code) مفتاح API مخزّنًا من قبله، على سبيل المثال من عملية `/login` سابقة أو مكتوب مباشرة في ملف التكوين الخاص به، بدلاً من تسجيل الدخول الصالح للمستخدم إلى حساب Enterprise أو Team عند جلب إعدادات الخادم المدارة للمنظمة، رغم أن الجلسة نفسها كانت قد تم مصادقتها باستخدام حساب Enterprise أو Team. عندما رفض نقطة النهاية (Endpoint) ذلك المفتاح المخزّن، بدأت الجلسة دون سياسات الخادم المدارة من قبل المنظمة (مثل قواعد حظر الأذونات، وقيود النماذج، وقفل الإدارة فقط)، أو إذا كان هناك نسخة مخزنة مؤقتًا سابقًا على الجهاز، استمرت في تطبيق تلك النسخة القديمة دون تلقي تغييرات السياسة اللاحقة — مع الاستمرار بالعمل بحساب المنظمة. يتطلب تشغيل هذا الثغرة الوصول المحلي إلى جهاز يحتوي على مفتاح API مخزّن بهذه الطريقة؛ وتتطلب حالة عدم وجود سياسات أيضًا ألا تكون قد تم تخزين الإعدادات المدارة مؤقتًا سابقًا. لم تتأثر الإعدادات التي يديرها نقطة النهاية (MDM أو القائمة على الملفات). كانت منظمات Claude for Enterprise متأثرة منذ الإصدار 2.0.68؛ ومنظمات Claude for Work (Team) منذ الإصدار 2.1.38، عندما أصبحت إعدادات الخادم المدارة متاحة لهم.
لقد تلقى المستخدمون الذين يستخدمون التحديث التلقائي لـ Claude Code هذا الإصلاح بالفعل. يُنصح المستخدمين الذين يقومون بالتحديثات اليدوية بالتحديث إلى الإصدار 2.1.260 أو أحدث.
نشكر تاماس فيروش / فريق NVIDIA AI Red Team على الإبلاغ عن هذه المشكلة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.