Claude Code: Umgehung des Vertrauensdialogs über Yarn-Plugins

Beschreibung

In Claude Code vor Version 1.0.39 wurden bei Verwendung von Yarn ab Version 2.0 die Yarn-Plugins beim Aufruf von yarn --version automatisch ausgeführt. Dies konnte den Vertrauensdialog für nicht vertrauenswürdige Verzeichnisse umgehen, da Plugins ausgeführt wurden, bevor der Benutzer die Risiken der Arbeit in einem nicht vertrauenswürdigen Verzeichnis akzeptiert hatte. Nutzer von Yarn Classic waren nicht betroffen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Version 1.0.39 oder neuer aktualisieren; bei manuellen Updates ist eine Aktualisierung erforderlich.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Caddy

• Zammad: Session-Fixation-Lücke ermöglicht Remote Code Execution KEV CVE-2026-102489
• F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability KEV CVE-2026-94127
• Google Pixel Improper Authorization Vulnerability KEV CVE-2026-58704
• Check Point Quantum Security Gateway – Unzureichende Zertifikatsprüfung bei VPN-Verhandlung KEV CVE-2026-85102
• Google Chromium V8 – Out-of-Bounds Write KEV CVE-2026-87491
• Adobe Commerce – Template-Engine-Schwachstelle ermöglicht Codeausführung KEV CVE-2026-75650