WebFetch permitia vazamento por repositórios do Hugging Face
O WebFetch aprovava automaticamente qualquer caminho em huggingface.co porque a autorização abrangia o domínio inteiro, inclusive repositórios de modelos controlados por um atacante. Essas consultas dispensavam a confirmação de permissão e escapavam das restrições de --allowedTools. Ao inserir instruções maliciosas na janela de contexto do Claude Code, o atacante podia induzir acessos a arquivos desses repositórios. O Hugging Face registrava os acessos como downloads, permitindo usar esses registros para codificar e transmitir informações de arquivos, variáveis de ambiente ou saídas de comandos que o Claude conseguia acessar.
Casos de uso afetados
- Você utiliza uma versão afetada do Claude Code e inclui na sessão conteúdo externo que um atacante consegue alterar. As instruções inseridas nesse conteúdo podem direcionar o WebFetch a um repositório do Hugging Face controlado pelo atacante e transmitir informações acessíveis ao agente.
- Você restringe as ferramentas com --allowedTools e mantém arquivos confidenciais acessíveis ao Claude Code. A aprovação automática de huggingface.co permitia consultas fora dessa restrição, inclusive a arquivos de repositórios externos usados como canal de vazamento.
Confira na sua instância
Confira a versão do Claude Code executado no ambiente que você utiliza e compare-a com a faixa >= 0.2.54, < 2.1.163. Para instalações com atualização manual, aplique a atualização e confira novamente a versão do executável. Como conferência das sessões anteriores, revise os registros disponíveis de chamadas do WebFetch e procure acessos a huggingface.co com caminhos como /resolve/main/config.json em repositórios que você não reconhece. Compare essas consultas com o conteúdo externo incluído na sessão. Um acesso isolado não comprova vazamento, mas permite identificar o destino e investigar a instrução que levou à consulta.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| @anthropic-ai/claude-code (npm) | >= 0.2.54, < 2.1.163 | 2.1.163 |
CVE-2026-54316. A pontuação 6 corresponde ao CVSS 4.0 informado no aviso. A exploração exige que o atacante consiga inserir conteúdo não confiável na janela de contexto do Claude Code. O comunicado informa que a atualização automática padrão já distribuiu a correção, mas você precisa conferir a versão instalada no seu ambiente.
