Odkryto poważną lukę w „Claude Agent SDK”, opublikowano poprawkę
23 października 2026 · Czas czytania: 1 min
W „Claude Agent SDK” firmy Anthropic, przeznaczonym dla Pythona, ujawniono poważną lukę. Została już opublikowana poprawka.
Zidentyfikowana podatność, oznaczona jako „CVE-2026-96620”, dotyczy przetwarzania opcji „resume”, używanej do wznowienia sesji. Problem polega na tym, że argumenty są przekazywane do „Claude CLI” bez weryfikacji ich wartości.
Luka ta wpływa na aplikacje, które korzystają z niezaufanych danych wejściowych jako identyfikatorów sesji. W przypadku, gdy wartość zaczyna się od „-”, nie jest ona interpretowana jako identyfikator sesji, lecz jako nowa opcja interfejsu wiersza poleceń, co może prowadzić do załadowania niezamierzonych ustawień.
Wykorzystanie tej podatności może umożliwić definiowanie serwera „MCP” oraz wykonywanie dowolnych poleceń podczas uruchamiania wiersza poleceń, co stwarza ryzyko obejścia kontroli uprawnień w SDK.
W artykule wspomniano również o innych aktualizacjach bezpieczeństwa, w tym o lukach w „Roundcube Webmail” oraz „nginx”.