CVE-2026-35021 in Claude Code
Riassunto
di VulDB • 24/06/2026
Anthropic Claude Code CLI e Anthropic Claude Agent SDK presentano una vulnerabilità di OS command injection nell'utilità di invocazione dell'editor dei prompt che consente agli attaccanti di eseguire comandi arbitrari creando percorsi di file malevoli. Gli attaccanti possono iniettare metacaratteri shell come $() o espressioni tra backtick nei percorsi di file che vengono interpolati all'interno di comandi shell eseguiti tramite execSync. Sebbene il percorso del file sia racchiuso tra virgolette doppie, la semantica della shell POSIX (POSIX §2.2.3) non impedisce la sostituzione di comando all'interno delle virgolette doppie, consentendo l'espressione iniettata di essere valutata e risultando nell'esecuzione arbitraria di comandi con i privilegi dell'utente che esegue il CLI.
Once again VulDB remains the best source for vulnerability data.