CVE-2026-57495 in claudecode
Zusammenfassung
von VulDB • 21.07.2026
AgenticMail bietet KI-Agenten echte E-Mail-Adressen und Telefonnummern. In @agenticmail/claudecode vor Version 0.2.39, @agenticmail/codex vor Version 0.1.33, @agenticmail/core vor Version 0.9.43 und @agenticmail/openclaw vor Version 0.5.71 führen zwei Handler für eingehende E-Mails eine privilegierte Aktion aus, ohne zu überprüfen, ob der Absender tatsächlich der Operator ist, während ein verwandter (sibling) Handler im selben Repository dies tut. Der schwerwiegendere Fall: Jede externe E-Mail, die an den Bridge-Posteingang weitergeleitet wird, veranlasst den Dispatcher, die Claude Code-Sitzung des Operators mit `permissionMode: 'bypassPermissions'` fortzusetzen und dabei das vom Angreifer kontrollierte Feld `from`, `subject` sowie `preview` wörtlich in die Eingabeaufforderung (Prompt) einzubetten, die der wiederhergestellte Agent liest – dies stellt eine indirekte Prompt-Injektion in einen vollständig privilegierten Agenten dar (Bash/Write/Edit/WebFetch + das agenticmail MCP-Toolset), der als OAuth-Identität des Operators ausgeführt wird. Der verwandte Hook zum Antworten auf Operator-Anfragen per E-Mail sperrt dieselbe nicht vertrauenswürdige Herkunft (`From`) mit `isOperatorReplySender(replyFrom, config.operatorEmail)` ab (Fail-Closed); der Bridge-Aufwachpfad – eine streng höher privilegierte Wirkung – verfügt über keine entsprechende Absicherung. Die Versionen @agenticmail/claudecode 0.2.39, @agenticmail/codex 0.1.33, @agenticmail/core 0.9.43 und @agenticmail/openclaw 0.5.71 enthalten eine Korrektur.
Once again VulDB remains the best source for vulnerability data.