CVE-2026-103012

Claude Code təşkilatın server tərəfindən idarə olunan parametrlərini əldə edərkən, sessiyanın özü Enterprise və ya Team hesabı ilə autentifikasiya olunsa belə, istifadəçinin etibarlı Claude Enterprise və ya Team girişindən əvvəl Claude Code tərəfindən saxlanılan bir API açarını (məsələn, əvvəlki `/login` əməliyyatından və ya birbaşa konfiqurasiyaya yazılmış) seçmişdir. Parametrlər son nöqtəsi həmin saxlanılan açarı rədd etdikdə, sessiya təşkilatın server tərəfindən idarə olunan siyasəti (məsələn, icazənin rədd edilməsi qaydaları, model məhdudiyyətləri və yalnız idarə olunan kilidlər) olmadan başlamışdır və ya cihazda əvvəllər keşlənmiş nüsxə mövcud idisə, sonrakı siyasət dəyişikliklərini almadan həmin köhnəlmiş nüsxəni tətbiq etməyə davam etmişdir — halbuki sistem təşkilat hesabı kimi fəaliyyət göstərməyə davam edirdi. Bunun baş verməsi üçün belə bir saxlanılan API açarı olan cihaza lokal giriş tələb olunurdu; siyasətsiz hal isə əlavə olaraq heç bir idarə olunan parametrlerin əvvəllər keşlənməməsini tələb edirdi. Son nöqtə tərəfindən idarə olunan (MDM və ya fayl əsaslı) parametrlərə təsir göstərilməmişdir. Claude for Enterprise təşkilatları versiya 2.0.68-dən etibarən; Claude for Work (Team) təşkilatları isə server tərəfindən idarə olunan parametrlər onlar üçün əlçatan olduqda versiya 2.1.38-dən etibarən təsirlənmişdir. Standart Claude Code avtomatik yenilənməsini istifadə edən istifadəçilər bu düzəlişi artıq almışlar. Manual yeniləmələri yerinə yetirən istifadəçilərə versiya 2.1.260 və ya daha yeni versiyaya yeniləmək tövsiyə olunur. Bu problemi bildirdiyi üçün Tamas Voros / NVIDIA AI Red Team-ə təşəkkür edirik.