CVE-2026-96620 in Claude Agent SDK
요약
\~에 의해 VulDB • 2026. 10. 16.
Claude Agent SDK는 Claude Code용 Python SDK입니다. 버전 0.2.121 이전에서는 resume 옵션이 검증 없이 별도의 토큰으로 Claude CLI에 전달되므로, 대시(-)로 시작하는 값은 독립적인 CLI 플래그로 파싱됩니다. 공격자는 --mcp-config 플래그를 주입하여 stdio MCP 서버를 정의할 수 있으며, 이로 인해 SDK 권한 제어 외부에서 CLI 시작 시 임의 명령이 실행될 수 있습니다. 이 문제는 신뢰할 수 없는 입력을 세션 ID로 전달하는 애플리케이션에서 exploit 가능합니다. 해당 이슈는 버전 0.2.121에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.