CVE-2026-96620

Kritik

Açıklama

Claude Agent SDK, Claude Code için bir Python SDK'sıdır. 0.2.121 sürümünden önce, resume seçeneği herhangi bir doğrulama yapılmadan ayrı bir belirteç olarak Claude CLI'ya iletildiği için tire ile başlayan değerler bağımsız bir CLI bayrağı olarak ayrıştırılmaktadır. Bir saldırgan, stdio MCP sunucusu tanımlamak için --mcp-config bayrağını enjekte ederek, SDK izin kontrollerinin dışında, CLI başlangıcında rastgele komut çalıştırılmasına neden olabilir. Bu sorun, bir uygulamanın güvenilmeyen girdiyi devam ettirilecek oturum kimliği (session ID) olarak ilettiğinde istismar edilebilir. Bu sorun 0.2.121 sürümünde düzeltilmiştir.

ÖnemKritik

CVSS9.2

İstismar olasılığı—

ÜrünClaude-agent-sdk

Yayın16 Eki 2026

İlk görülme16 Eki 2026

Zayıflık türüCWE-20Girdinin yetersiz doğrulanması CWE-78İşletim sistemi komut enjeksiyonu CWE-88CWE-88

Nasıl düzeltilir

Güncelleyin

claude-agent-sdk0.2.121 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
claude-agent-sdkPyPI	v < 0.2.121	0.2.121

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.