PT-2026-6766 · Anthropic · Claude-Code

Edbr · Publicado 2026-02-06 · Atualizado 2026-04-08 · CVE-2026-25725

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Claude Code anteriores a 2.1.2

Descrição O Claude Code, uma ferramenta de codificação agêntica, apresentava uma falha em seu mecanismo de sandboxing bubblewrap. O mecanismo não protegia adequadamente o arquivo de configuração .claude/settings.json quando este estava ausente na inicialização. Embora o diretório pai fosse gravável e o .claude/settings.local.json fosse somente leitura, o settings.json não estava protegido se não existisse. Isso permitia que código malicioso dentro da sandbox criasse o arquivo e inserisse hooks persistentes, como comandos SessionStart, que seriam executados com privilégios do host ao reiniciar o Claude Code.

Recomendações Atualize o Claude Code para a versão 2.1.2 ou posterior.

Exploit

Correção

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-668

CWE-501

Identificadores relacionados

CVE-2026-25725

GHSA-FF64-7W26-62RF

Produtos afetados

Claude-Code

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25725.json · Exploit
• https://github.com/anthropics/claude-code · Nota
• https://github.com/anthropics/claude-code/security/advisories/GHSA-ff64-7w26-62rf · Nota
• https://reddit.com/r/VulnMatter/comments/1r03op1/resumen_diario_de_vulnerabilidades_09022026 · Publicação no Reddit
• https://t.me/cveNotify/151410 · Publicação no Telegram
• https://twitter.com/UjlakiMarci/status/2021130566326771802 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1r03p4y/resumen_diario_de_vulnerabilidades_09022026 · Publicação no Reddit
• https://twitter.com/TheHackerWire/status/2020892125395898684 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-25725 · Nota de Segurança
• https://twitter.com/CVEnew/status/2019847329298194666 · Publicação no Twitter
• https://cymulate.com/blog/the-race-to-ship-ai-tools-left-security-behind-part-1-sandbox-escape · Publicação no Reddit
• https://twitter.com/EladBeber/status/2041932431465341232 · Publicação no Twitter
• https://twitter.com/IKalendarov/status/2041886316346900489 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-ff64-7w26-62rf · Aviso do Fabricante
• https://twitter.com/_cvereports/status/2019858658012582142 · Publicação no Twitter