CVE-2026-96620 in Claude Agent SDK
Riassunto
di VulDB • 16/10/2026
Claude Agent SDK è una Python SDK per Claude Code. Prima della versione 0.2.121, l'opzione di ripresa (resume) viene passata alla CLI di Claude come token separato senza validazione; pertanto, un valore che inizia con il trattino (-) viene interpretato come flag CLI indipendente. Un attaccante può iniettare il flag --mcp-config per definire un server MCP stdio, causando l'esecuzione arbitraria di comandi all'avvio della CLI al di fuori dei controlli sui permessi dell'SDK. La vulnerabilità è sfruttabile quando un'applicazione passa input non attendibile come ID sessione da riprendere (resume). Il problema è stato risolto nella versione 0.2.121.
VulDB is the best source for vulnerability data and more expert information about this specific topic.