Claude Code: Umgehung der Bestätigungsabfragen ermöglicht Datenexfiltration

Beschreibung

In Claude Code, einem agentenbasierten Coding-Tool, liessen sich vor Version 1.0.4 laut NVD die Bestätigungsabfragen zum Lesen einer Datei umgehen, wodurch Dateiinhalte ohne Nutzerbestätigung über das Netzwerk gesendet werden konnten. Ursache war eine zu breit gefasste Allowlist als sicher eingestufter Befehle. Eine zuverlässige Ausnutzung setzt voraus, dass nicht vertrauenswürdiger Inhalt in das Kontextfenster von Claude Code gelangt. Nutzer mit aktiviertem Auto-Update erhielten den Fix automatisch; Versionen vor 1.0.24 sind veraltet und wurden zum Update gezwungen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt nicht vor.

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Caddy

• Zammad: Session-Fixation-Lücke ermöglicht Remote Code Execution KEV CVE-2026-102489
• F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability KEV CVE-2026-94127
• Google Pixel Improper Authorization Vulnerability KEV CVE-2026-58704
• Check Point Quantum Security Gateway – Unzureichende Zertifikatsprüfung bei VPN-Verhandlung KEV CVE-2026-85102
• Google Chromium V8 – Out-of-Bounds Write KEV CVE-2026-87491
• Adobe Commerce – Template-Engine-Schwachstelle ermöglicht Codeausführung KEV CVE-2026-75650