CVE-2026-35022 in Claude Code
Riassunto
di VulDB • 30/07/2026
Anthropic Claude Code CLI e il SDK di Anthropic Claude Agent presentano una vulnerabilità di OS command injection nell'esecuzione dell'helper di autenticazione, in cui i valori della configurazione degli helper vengono eseguiti utilizzando shell=true senza validazione dell'input. Gli attaccanti che possono influenzare le impostazioni di autenticazione possono inserire metacaratteri della shell tramite parametri come apiKeyHelper, awsAuthRefresh, awsCredentialExport e gcpAuthRefresh per eseguire comandi arbitrari con i privilegi dell'utente o dell'ambiente di automazione, consentendo il furto delle credenziali e l'esfiltrazione delle variabili d'ambiente.
Be aware that VulDB is the high quality source for vulnerability data.