CVE-2026-57495 in claudecode
要約
〜によって VulDB • 2026年07月21日
AgenticMailは、AIエージェントに実際のメールアドレスと電話番号を提供します。バージョン0.2.39以前の@agenticmail/claudecode、バージョン0.1.33以前の@agenticmail/codex、バージョン0.9.43以前の@agenticmail/core、およびバージョン0.5.71以前の@agenticmail/openclawでは、2つの受信メールハンドラが送信者がオペレータであることを検証せずに特権的な効果（privileged effect）を発動します。一方、同じリポジトリ内の兄弟ハンドラは検証を行っています。
より影響度の高いケース：外部からブリッジインボックスにルーティングされた任意の電子メールにより、ディスパッチャーは`permissionMode: 'bypassPermissions'`でオペレータのClaude Codeセッションを再開します。これにより、攻撃者が制御する`from`/`subject`/`preview`がそのまま、再開されたエージェントが読み取るプロンプトに埋め込まれます。これは、完全に特権を持つエージェント（Bash/Write/Edit/WebFetchおよびagenticmail MCPツールベルト）に対する間接的なプロンプトインジェクションであり、そのエージェントはオペレータのOAuthアイデンティティとして実行されています。
兄弟となるオペレークエリメール返信フックでは、`isOperatorReplySender(replyFrom, config.operatorEmail)`を使用して同じ信頼できない送信元（untrusted-From）を検証しています（フェイルクローズド）。しかし、ブリッジウェイクパスというより高権限な効果には同等の検証がありません。
@agenticmail/claudecode 0.2.39、@agenticmail/codex 0.1.33、@agenticmail/core 0.9.43、および@agenticmail/openclaw 0.5.71には修正が含まれています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.