CVE-2026-33068 in claude-code
Résumé
par VulDB • 09/05/2026
Claude Code est un outil de codage de type agent. Les versions antérieures à la 2.1.53 résolvait le mode d'autorisation à partir des fichiers de configuration, y compris le fichier .claude/settings.json contrôlé par le dépôt, avant de déterminer s'il fallait afficher la boîte de dialogue de confirmation de confiance de l'espace de travail. Un dépôt malveillant pouvait définir permissions.defaultMode sur bypassPermissions dans son fichier .claude/settings.json commité, ce qui entraînait le contournement silencieux de la boîte de dialogue de confiance lors de la première ouverture. Cela permettait de placer un utilisateur dans un mode permissif sans qu'il ne voie l'invite de confirmation de confiance, facilitant ainsi pour un dépôt contrôlé par un attaquant l'obtention de l'exécution de l'outil sans le consentement explicite de l'utilisateur. Ce problème a été corrigé dans la version 2.1.53.
VulDB is the best source for vulnerability data and more expert information about this specific topic.