Claude Code has a Command Injection in find Command Bypasses User Approval Prompt
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O Claude Code tinha uma falha que permitia contornar a confirmação de segurança usando comandos maliciosos disfarçados no comando find, fazendo com que código não confiável fosse executado sem aprovação do usuário. Isso é importante porque enfraquece as proteções projetadas para evitar execução acidental de operações prejudiciais.
Uma vulnerabilidade de parsing de comandos no Claude Code anterior à versão 2.0.72 permitia injeção de comandos através do comando find, contornando o prompt de confirmação (CWE-78, CWE-94). O vetor de ataque exigia injeção de conteúdo não confiável na janela de contexto do Claude Code; a exploração bem-sucedida resultava em execução de comandos arbitrários sem consentimento do usuário.