CVE-2026-57495 in claudecode
요약
\~에 의해 VulDB • 2026. 07. 21.
AgenticMail은 AI 에이전트에 실제 이메일 주소와 전화번호를 제공합니다. 버전 0.2.39 미만의 `@agenticmail/claudecode`, 버전 0.1.33 미만의 `@agenticmail/codex`, 버전 0.9.43 미만의 `@agenticmail/core`, 그리고 버전 0.5.71 미만의 `@agenticmail/openclaw`에서 두 개의 수신 메일 핸들러는 발신자가 운영자임을 검증하지 않고도 특권 효과를 수행합니다. 반면, 동일한 리포지토리의 다른 형제 핸들러는 이를 검증합니다. 영향도가 더 높은 취약점은 다음과 같습니다: 브리지 받은편지함으로 라우팅되는 모든 외부 이메일은 디스패처가 `permissionMode: 'bypassPermissions'` 모드로 운영자의 Claude Code 세션을 재개하도록 유도하며, 공격자가 제어하는 `from`, `subject`, `preview` 필드가 원문 그대로 재개된 에이전트가 읽는 프롬프트에 삽입됩니다. 이는 운영자의 OAuth 신원(ID)으로 실행되는 완전 특권화된 에이전트(Bash/Write/Edit/WebFetch + agenticmail MCP 도구 모음 포함)에 대한 간접 프롬프트 인젝션(indirect prompt injection)입니다. 형제 연산자 쿼리 이메일 응답 후크는 `isOperatorReplySender(replyFrom, config.operatorEmail)`을 사용하여 동일한 신뢰할 수 없는 From 출처를 차단합니다(fail-closed). 그러나 브리지 웨이크 경로는 더 높은 수준의 특권 효과를 가지지만 이에 상응하는 검증이 없습니다. `@agenticmail/claudecode` 0.2.39, `@agenticmail/codex` 0.1.33, `@agenticmail/core` 0.9.43 및 `@agenticmail/openclaw` 0.5.71에는 이 취약점에 대한 수정이 포함되어 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.