Avis de sécurité de Claude Code : CVE-2026-33068 Contournement de la confiance des espaces de travail

Vulnérabilité de sécurité dans Claude Code

Un avis de sécurité a été émis pour les utilisateurs de Claude Code concernant CVE-2026-33068, une vulnérabilité avec un score CVSS de 7.7 (HAUTE). Ce problème affecte les versions de Claude Code antérieures à la 2.1.53.

Détails techniques

La vulnérabilité permet à des dépôts malveillants de contourner la boîte de dialogue de confirmation de confiance de l'espace de travail. Claude Code inclut une fonctionnalité légitime appelée bypassPermissions dans .claude/settings.json qui permet aux utilisateurs de pré-approuver des opérations spécifiques dans des espaces de travail de confiance.

Le bogue résidait dans l'ordre des opérations : les paramètres du fichier .claude/settings.json du dépôt étaient chargés avant que la boîte de dialogue de confiance de l'espace de travail ne soit affichée à l'utilisateur. Cela signifie qu'un dépôt cloné pouvait inclure un fichier de paramètres qui s'accorde lui-même des permissions élevées avant que l'utilisateur ait eu l'occasion de l'examiner.

Nuance importante : bypassPermissions est une fonctionnalité documentée et intentionnelle. La vulnérabilité ne se trouve pas dans la fonctionnalité elle-même, mais dans la séquence de chargement.

Ce que les utilisateurs doivent faire

• Exécutez claude --version pour confirmer que vous utilisez la version 2.1.53 ou ultérieure
• Avant d'ouvrir un dépôt non familier avec Claude Code, vérifiez s'il contient un fichier .claude/settings.json et examinez son contenu
• Si vous avez travaillé avec des dépôts provenant de sources non fiables sur des versions antérieures, considérez si des opérations inattendues ont été effectuées

Correctif

Anthropic a corrigé cette vulnérabilité dans la version 2.1.53 en réorganisant la séquence de chargement. L'avis complet avec les détails techniques est disponible à l'adresse https://raxe.ai/labs/advisories/RAXE-2026-040.