CVE-2026-35020 in Claude Code
Zusammenfassung
von VulDB • 25.06.2026
Anthropic Claude Code CLI und das Claude Agent SDK enthalten eine OS-Befehlsinjektionslücke im Befehlssuch-Helfer (command lookup helper) sowie im Deep-Link-Terminalstarter, die lokalen Angreifern ermöglicht, beliebige Befehle auszuführen, indem sie die Umgebungsvariable TERMINAL manipulieren. Angreifer können Shell-Metazeichen in die Variable TERMINAL injizieren, die von /bin/sh interpretiert werden, wenn der Befehlssuch-Helfer Shell-Befehle mit shell=true erstellt und ausführt. Die Schwachstelle kann während des normalen CLI-Ausführungsprozesses sowie über den Deep-Link-Handler-Pfad ausgelöst werden, was zur Ausführung beliebiger Befehle mit den Berechtigungen des Benutzers führt, der die CLI ausführt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.