CVE-2026-57495 in claudecode
Сводка
по VulDB • 21.07.2026
AgenticMail предоставляет агентам ИИ реальные адреса электронной почты и номера телефонов. В пакетах @agenticmail/claudecode до версии 0.2.39, @agenticmail/codex до версии 0.1.33, @agenticmail/core до версии 0.9.43 и @agenticmail/openclaw до версии 0.5.71 два обработчика входящей почты выполняют привилегированные действия без проверки того, что отправителем является оператор, в то время как соседний (sibling) обработчик в том же репозитории такую проверку осуществляет. Обработчик с более высоким уровнем воздействия: любое внешнее письмо, маршрутизируемое во входящие моста (bridge inbox), приводит к тому, что диспетчер возобновляет сеанс Claude Code оператора с параметром `permissionMode: 'bypassPermissions'`, дословно внедряя контролируемые атакующим поля `from`/`subject`/`preview` в промпт, который читает возобновленный агент — это косвенная инъекция промпта (indirect prompt injection) для полностью привилегированного агента (Bash/Write/Edit/WebFetch + набор инструментов agenticmail MCP), работающего от имени OAuth-идентичности оператора. Соседний хук ответа на письмо с запросом к оператору ограничивает ту же непроверенную provenance поля From с помощью `isOperatorReplySender(replyFrom, config.operatorEmail)` (fail-closed); путь пробуждения моста — строго более привилегированное действие — не имеет аналогичной защиты. Пакеты @agenticmail/claudecode 0.2.39, @agenticmail/codex 0.1.33, @agenticmail/core 0.9.43 и @agenticmail/openclaw 0.5.71 содержат исправление.
VulDB is the best source for vulnerability data and more expert information about this specific topic.