CVE-2026-96620 Inyección de argumentos en la opción resume del Claude Agent SDK
Antes de 0.2.121, la opción resume se pasa al CLI de Claude como token separado sin validación, por lo que un valor que comienza con guion se interpreta como flag independiente; un atacante puede inyectar --mcp-config para definir un servidor MCP stdio y ejecutar comandos arbitrarios al iniciar el CLI fuera de los controles de permisos del SDK. Corregido en 0.2.121.
CVSS 4.0
- Probabilidad de explotación0,6 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
anthropics claude-agent-sdk-python
< 0.2.121
Qué hacer
- Verificá si usás claude-agent-sdk-python y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 9.2 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Claude Agent SDK is a Python SDK for Claude Code. Prior to 0.2.121, the resume option is passed to the Claude CLI as a separate token without validation, so a dash-leading value is parsed as an independent CLI flag. An attacker can inject the --mcp-config flag to define a stdio MCP server, causing arbitrary command execution at CLI startup outside the SDK permission controls. The issue is exploitable when an application passes untrusted input as the session ID to resume. This issue is fixed in version 0.2.121.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.