Allvarlig sårbarhet upptäckt i Claude Agent SDK
23 oktober 2026 · 1 min läsning
En allvarlig sårbarhet har upptäckts i Anthropic's utvecklingskit för Python, Claude Agent SDK. En ny version som åtgärdar problemet har publicerats.
Sårbarheten, som benämns CVE-2026-96620, är relaterad till hanteringen av "resume"-alternativet, vilket används för att återuppta sessioner. Här överförs argument utan att valideras till Claude CLI, vilket skapar en risk för argumentinjektion.
Denna sårbarhet påverkar applikationer som använder osäker indata som session-ID. Om värdet börjar med "-", tolkas det inte som ett session-ID utan som ett nytt alternativ för kommandoradsgränssnittet, vilket kan leda till att oönskade inställningar läses in.
Genom att utnyttja sårbarheten kan en angripare definiera en "MCP-server" och potentiellt köra valfria kommandon vid start av kommandoraden, vilket kan kringgå de behörighetskontroller som SDK:t har.