Claude Code – Unzureichende URL-Validierung bei vertrauenswürdigen Domains in WebFetch

Beschreibung

Claude Code prüfte vor Version 1.0.111 vertrauenswürdige Domains für WebFetch-Anfragen unzureichend: Die Verwendung von startsWith() liess Angreifer Domains wie modelcontextprotocol.io.example.com registrieren, die die Prüfung fälschlich bestehen. Dadurch konnten automatische Anfragen an von Angreifern kontrollierte Domains ohne Zustimmung der Nutzer ausgelöst werden, was potenziell zur Datenexfiltration führen konnte. Das Problem ist seit Version 1.0.111 behoben. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Auf Version 1.0.111 oder neuer aktualisieren.

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Caddy

• Zammad: Session-Fixation-Lücke ermöglicht Remote Code Execution KEV CVE-2026-102489
• F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability KEV CVE-2026-94127
• Google Pixel Improper Authorization Vulnerability KEV CVE-2026-58704
• Check Point Quantum Security Gateway – Unzureichende Zertifikatsprüfung bei VPN-Verhandlung KEV CVE-2026-85102
• Google Chromium V8 – Out-of-Bounds Write KEV CVE-2026-87491
• Adobe Commerce – Template-Engine-Schwachstelle ermöglicht Codeausführung KEV CVE-2026-75650