CVE Intelligence
Análise Assistido por IA

CVE-2026-25722: Anthropic Claude Code: contorno da proteção de escrita via navegação de diretórios (CWE-20)

Versões do Claude Code anteriores à 2.0.57 não validavam adequadamente mudanças de diretório combinadas com operações de escrita em pastas protegidas, como .claude. Segundo o registro, isso podia permitir criar ou modificar arquivos sem confirmação do usuário, e o problema foi corrigido na 2.0.57.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

O Claude Code é uma ferramenta de codificação agêntica da Anthropic. Segundo o aviso do fornecedor e o registro, versões anteriores à 2.0.57 não validavam adequadamente mudanças de diretório combinadas com operações de escrita em pastas protegidas, como .claude. A fragilidade é classificada como validação imprópria de entrada (CWE-20).

Impacto

  • O registro indica que a proteção contra escrita em pastas sensíveis podia ser contornada, permitindo criar ou modificar arquivos sem confirmação do usuário.
  • A exploração confiável exigia a capacidade de inserir conteúdo não confiável na janela de contexto do Claude Code.
  • A NVD atribui nota 9.1 (crítica), e a CNA do GitHub atribui 7.7 pelo seu próprio método de pontuação.

Produtos e versões afetados

  • Anthropic Claude Code, versões anteriores à 2.0.57.
  • A lista de correções do registro está vazia, mas a descrição informa que o problema foi corrigido na 2.0.57.

Status de exploração

  • O catálogo KEV da CISA não lista este CVE no registro. Não há exploração confirmada no ambiente real nas fontes consultadas.

Correção e mitigação

  • Atualize o Claude Code para a versão 2.0.57 ou superior.
  • Consulte o aviso do fornecedor GHSA-66q4-vfjg-2qhh para orientações oficiais.
  • Até a atualização, reduza a chance de conteúdo não confiável chegar às sessões do Claude Code, já que a exploração confiável dependia disso.

Orientações de detecção

  • Revise alterações em diretórios de configuração sensíveis, como .claude, e correlacione-as com ações aprovadas pelo usuário.
  • Inventarie as instalações e identifique quaisquer versões anteriores à 2.0.57 em uso.

Limitações das informações disponíveis

  • O registro não contém dados de EPSS ou SSVC e não possui entrada no KEV.
  • Detalhes técnicos do fluxo vulnerável foram omitidos de propósito.
  • O registro não informa se outros produtos ou plataformas são afetados.

Perguntas frequentes

Quais versões do Claude Code são afetadas?

Segundo o registro, as versões anteriores à 2.0.57. A descrição informa que o problema foi corrigido na 2.0.57.

Este CVE é explorado no ambiente real?

O registro não o lista no KEV da CISA, e não há exploração confirmada nas fontes consultadas.

O que administradores devem fazer?

Atualizar o Claude Code para a versão 2.0.57 ou superior e seguir o aviso do fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.