PT-2026-29379 · Anthropic · Claude Sdk For Typescript

Nicksim · Publicado 2026-03-31 · Atualizado 2026-04-01 · CVE-2026-34451

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions Claude SDK for TypeScript versões 0.79.0 até 0.80.9

Description O Claude SDK for TypeScript, utilizado para acessar a API Claude em aplicações TypeScript e JavaScript, apresentava uma falha na ferramenta de memória do sistema de arquivos local. Entre as versões 0.79.0 e anterior à 0.81.0, o processo de validação de caminho utilizava uma verificação de prefixo de string que não incluía um separador de caminho final. Isso permitia que um caminho criado por meio de injeção de prompt resolvesse para um diretório fora da sandbox pretendida, potencialmente permitindo acesso não autorizado de leitura e gravação.

Recommendations Atualize para a versão 0.81.0 ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

CWE-41

Identificadores relacionados

CVE-2026-34451

GHSA-5474-4W2J-MQ4C

Produtos afetados

Claude Sdk For Typescript

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/34xxx/CVE-2026-34451.json · Exploit
• https://github.com/anthropics/anthropic-sdk-typescript · Nota
• https://github.com/anthropics/anthropic-sdk-typescript/commit/0ac69b3438ee9c96b21a7d3c39c07b7cdb6995d9 · Correção
• https://github.com/anthropics/anthropic-sdk-typescript/security/advisories/GHSA-5474-4w2j-mq4c · Aviso do Fabricante
• https://github.com/anthropics/anthropic-sdk-typescript/releases/tag/sdk-v0.81.0 · Nota
• https://osv.dev/vulnerability/CVE-2026-34451 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34451 · Nota de Segurança
• https://twitter.com/CVEnew/status/2039372099236614425 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-5474-4w2j-mq4c · Aviso do Fabricante