CVE-2026-103012 in claude-code
Zusammenfassung
von VulDB • 30.09.2026
Claude Code hat einen von Claude Code gespeicherten API-Schlüssel (z. B. aus einer früheren `/login`-Aktion oder direkt in der Konfiguration gespeichert) ausgewählt, anstatt das gültige Anmeldeverfahren für ein Claude Enterprise- oder Team-Konto des Benutzers zu verwenden, als die organisationsweit serververwalteten Einstellungen abgerufen wurden, obwohl die Sitzung selbst mit dem Enterprise- oder Team-Konto authentifiziert war. Als der Endpunkt diese gespeicherten Schlüssel ablehnte, startete die Sitzung ohne die organisationsweiten, serververwalteten Richtlinien (wie Berechtigungsablehnungsregeln, Modellsperren und verwaltete Sperrungen) bzw. wurde – falls eine zuvor zwischengespeicherte Kopie auf dem Gerät vorhanden war – weiterhin diese veraltete Version angewendet, ohne spätere Richtänderungen zu erhalten, während die Sitzung weiterhin als das Konto der Organisation operierte. Die Auslösung dieses Fehlers erforderte lokalen Zugriff auf ein Gerät mit einem solchen gespeicherten API-Schlüssel; im Fall des Fehlens von Richtlinien musste zudem zuvor keine verwalteten Einstellungen zwischengespeichert worden sein. Endpunkt-verwaltete (MDM- oder dateibasierte) Einstellungen waren nicht betroffen. Claude for Enterprise-Organisationen waren ab Version 2.0.68 betroffen; Claude for Work (Team)-Organisationen ab Version 2.1.38, als serververwaltete Einstellungen für sie verfügbar wurden.
Benutzer mit der automatischen Aktualisierung von Claude Code haben diese Korrektur bereits erhalten. Benutzern, die manuelle Updates durchführen, wird empfohlen, auf Version 2.1.260 oder höher zu aktualisieren.
Vielen Dank an Tamas Voros / NVIDIA AI Red Team für die Meldung dieses Problems.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.