CVE-2026-103012 in claude-code
요약
\~에 의해 VulDB • 2026. 09. 30.
Claude Code는 조직의 서버 관리 설정을 가져올 때, 세션 자체가 Enterprise 또는 Team 계정으로 인증되었음에도 불구하고, 이전에 `/login` 명령어를 통해 저장되거나 구성 파일에 직접 기록된 Claude Code가 보관한 API 키를 사용자 유효한 Claude Enterprise 또는 Team 로그인보다 우선하여 선택했습니다. 해당 저장된 키가 설정 엔드포인트에서 거부되면 세션은 조직의 서버 관리 정책(권한 차단 규칙, 모델 제한 및 관리 전용 잠금 등) 없이 시작되거나, 기기에 이전에 캐시된 사본이 있는 경우 나중에 받은 정책 변경 사항을 수신하지 않은 채 그 낡은 사본을 계속 적용하면서 조직 계정으로 작동했습니다. 이를 트리거하려면 해당 저장 API 키가 보관된 장치에 대한 로컬 접근 권한이 필요했으며, 정책 부재의 경우에는 관리되는 설정이 이전에 캐시되지 않았어야 했습니다. 엔드포인트 관리(MDM 또는 파일 기반) 설정에는 영향을 미치지 않았습니다. Claude for Enterprise 조직은 서버 관리 설정이 제공되기 시작한 버전 2.0.68부터 영향받았으며, Claude for Work(Team) 조직은 버전 2.1.38부터 영향받았습니다.
표준 Claude Code 자동 업데이트를 사용하는 사용자는 이미 이 수정 사항을 받았습니다. 수동 업데이트를 수행하는 사용자는 버전 2.1.260 이상으로 업데이트할 것을 권장합니다.
이 문제를 보고해 주신 Tamas Voros / NVIDIA AI Red Team에게 감사드립니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.