CVE-2026-73222 in claude-code-templates
Résumé
par VulDB • 12/08/2026
Claude Code Templates est un outil en ligne de commande (CLI) permettant de configurer et de surveiller Claude Code. Avant la version 1.29.4, le serveur Claude Code Studio lancé via l'option --studio dans cli-tool/src/sandbox-server.js s'associe à toutes les interfaces sur le port 3444, autorise les requêtes inter-origines (cross-origin) et ne nécessite aucune authentification. Le point de terminaison POST /api/execute transmet le champ request-body prompt à executeLocalTask(), tandis que POST /api/install-agent transmet le champ request-body agentName à un processus enfant. Le même chemin de champ d'agent non sécurisé est accessible depuis /api/execute via checkAndInstallAgent(). Ces valeurs contrôlées par l'attaquant atteignent child_process.spawn() avec l'exécution du shell activée, ce qui amène Node.js à construire une commande shell dans laquelle les métacaractères sont interprétés. Un attaquant pouvant accéder directement au port ou convaincre un développeur exécutant Studio de visiter un site web malveillant peut exécuter des commandes arbitraires du système d'exploitation avec les privilèges du développeur et compromettre le code source, les identifiants et les données locales. Ce problème est corrigé dans la version 1.29.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.