Troca de diretório por link simbólico permite sobrescrever arquivos fora do workspace
A ferramenta Edit conferia o caminho e os links simbólicos no momento da validação, mas não mantinha essa conferência vinculada aos inodes dos diretórios ou aos descritores de arquivo. No macOS, um processo malicioso dentro da sandbox do Bash podia substituir de forma atômica um diretório pai do arquivo por um link simbólico após a validação. Como o Edit executava a gravação fora da sandbox, a troca redirecionava a escrita para um arquivo escolhido pelo invasor fora do workspace, desde que você tivesse permissão para alterá-lo. A falha resulta do intervalo entre a conferência do caminho e seu uso na gravação.
Casos de uso afetados
- Você usa uma versão afetada do Claude Code no macOS e executa, pela ferramenta Bash com sandbox, um script malicioso de um repositório ou de uma dependência. Esse código pode trocar um diretório durante uma edição e fazer o Edit sobrescrever um arquivo fora do diretório de trabalho. A exploração exige código controlado pelo invasor rodando dentro da sandbox.
Confira na sua instância
Confira a versão do Claude Code que você executa no macOS e compare com a faixa < 2.1.251. Em uma instalação afetada, atualize para a versão 2.1.251 ou posterior e confira novamente a versão em uso. Revise os scripts de repositórios e dependências executados pela ferramenta Bash nas sessões com a versão vulnerável, pois esse é o ponto de entrada descrito no aviso.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| @anthropic-ai/claude-code (npm) | < 2.1.251 | 2.1.251 |
A falha também é identificada como CVE-2026-88968. A pontuação 7,7 corresponde ao CVSS 4.0. Segundo o comunicado, a atualização automática padrão já distribuiu a correção. A disponibilidade da correção não confirma a versão instalada no seu ambiente.
