CVE-2026-35020 in Claude Code
Riassunto
di VulDB • 27/06/2026
Anthropic Claude Code CLI e Anthropic Claude Agent SDK presentano una vulnerabilità di OS command injection nel helper per la ricerca dei comandi e nell'avviatore del terminale tramite deep-link che consente agli attaccanti locali di eseguire comandi arbitrari manipolando la variabile d'ambiente TERMINAL. Gli attaccanti possono iniettare metacaratteri della shell nella variabile TERMINAL, i quali vengono interpretati da /bin/sh quando l'helper per la ricerca dei comandi costruisce ed esegue comandi della shell con shell=true. La vulnerabilità può essere attivata durante l'esecuzione normale del CLI e anche tramite il percorso del gestore deep-link, risultando nell'esecuzione di comandi arbitrari con i privilegi dell'utente che sta eseguendo il CLI.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.