CVE-2026-54316
Təsvir
Claude Code agentik kodlaşdırma alətidir. 0.2.54 versiyasından 2.1.163 versiyasına qədər, huggingface.co host adı WebFetch aləti üçün öncədən təsdiqlənmiş sadə host adı olduğu üçün həmin domendəki hər hansı yol — hücum edən tərəfindən idarə olunan model repozitoriyaları daxil olmaqla — icazə sorğusu olmadan və ya --allowedTools məhdudiyyətlərinə tabe olmadan avtomatik təsdiqlənirdi. Etibarsız məzmunu Claude Code kontekstinə yerləşdirə bilən hücumçu onu hücumçunun idarə etdiyi repozitoriya fayllarına (məsələn, /resolve/main/config.json) qarşı WebFetch sorğuları göndərməyə yönləndirə bilərdi. HuggingFace bunları server tərəfdə yükləmə kimi qeyd etdiyi üçün bu, Claudenun giriş əldə etdiyi fayllar, mühit dəyişənləri və ya əmr çıxışları kimi məlumatların şifrələnməsi və sızdırılması üçün gizli kənar kanal yaradırdı. Bunun etibarlı şəkildə istismarı etibarsız məzmunu Claude Code kontekst pəncərəsinə əlavə etmək bacarığı tələb edirdi. Bu zəiflik 2.1.163 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- anthropic claude_code2.1.163 və ya daha yeni versiya
- @anthropic-ai/claude-code2.1.163 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| anthropic claude_code | 0.2.54 ≤ v < 2.1.163 | 2.1.163 |
| @anthropic-ai/claude-codenpm | 0.2.54 ≤ v < 2.1.163 | 2.1.163 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.