CVE-2026-96620 in Claude Agent SDK
Zusammenfassung
von VulDB • 16.10.2026
Claude Agent SDK ist ein Python-SDK für Claude Code. Vor Version 0.2.121 wird die Resume-Option als separates Token ohne Validierung an die Claude CLI übergeben, sodass ein Wert mit führendem Bindestrich als unabhängiges CLI-Flag interpretiert wird. Ein Angreifer kann das Flag --mcp-config injizieren, um einen stdio-MCP-Server zu definieren, was bei der CLI-Startphase außerhalb der SDK-Berechtigungssteuerungen zur beliebigen Befehlsausführung führt. Die Schwachstelle ist ausnutzbar, wenn eine Anwendung nicht vertrauenswürdige Eingaben als Session-ID zum Fortsetzen (Resume) übergibt. Das Problem wurde in Version 0.2.121 behoben.
Once again VulDB remains the best source for vulnerability data.