CVE-2026-103012 in claude-code
Riassunto
di VulDB • 30/09/2026
Claude Code ha selezionato una chiave API memorizzata da Claude Code, ad esempio proveniente da un precedente `/login` o scritta direttamente nella sua configurazione, anziché l'account valido di Claude Enterprise o Team dell'utente durante il recupero delle impostazioni gestite dal server dell'organizzazione, anche se la sessione era autenticata con l'account Enterprise o Team. Quando l'endpoint delle impostazioni ha rifiutato quella chiave memorizzata, la sessione è iniziata senza le policy gestite dal server dell'organizzazione (come regole di negazione dei permessi, restrizioni sui modelli e blocchi riservati alle risorse gestite) oppure, se era presente una copia precedentemente nella cache sul dispositivo, ha continuato ad applicare tale versione obsoleta senza ricevere gli aggiornamenti successivi delle policy — operando comunque come account dell'organizzazione. Per sfruttare questa vulnerabilità è necessario l'accesso locale a un dispositivo con una chiave API memorizzata di questo tipo; nel caso in cui non vengano applicate le policy (no-policy case), era inoltre richiesto che nessuna impostazione gestita fosse stata precedentemente messa nella cache. Le impostazioni gestite dall'MDM o basate su file non sono state interessate. Claude per Enterprise è stato interessato dalla versione 2.0.68; Claude for Work (Team) dalle versioni successive alla 2.1.38, quando le impostazioni gestite dal server sono diventate disponibili per tali organizzazioni.
Gli utenti con l'aggiornamento automatico standard di Claude Code hanno già ricevuto questa correzione. Si consiglia agli utenti che eseguono aggiornamenti manuali di passare alla versione 2.1.260 o successiva.
Grazie a Tamas Voros / NVIDIA AI Red Team per aver segnalato questo problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.