https://alertas.dupin.com.ar/fabricante/anthropics/Alertas de vulnerabilidades de anthropics.esTue, 03 Nov 2026 21:56:59 +000010https://alertas.dupin.com.ar/cve/CVE-2026-88066/tg:63048Tue, 03 Nov 2026 21:56:59 +0000VulnerabilidadEn Claude Desktop para Windows anterior a 1.8089.0, la aplicación invoca git.exe mediante uv_spawn sin ruta absoluta, por lo que la resolución de ruta de búsqueda de Windows puede seleccionar un git.exe malicioso colocado en el directorio de trabajo del proyecto abierto. Abrir un repositorio controlado por un atacante o compartido puede ejecutar el programa sustituido con los privilegios del usuario. Se corrige en la versión 1.8089.0.https://alertas.dupin.com.ar/cve/CVE-2026-88968/tg:63047Tue, 03 Nov 2026 21:56:58 +0000VulnerabilidadEn Claude Code anterior a 2.1.251, la herramienta Edit valida un destino mediante resolución de rutas y enlaces simbólicos que no está ligada al inodo ni al descriptor de archivo del directorio subyacente. En macOS, código controlado por un atacante que se ejecuta en el sandbox de Bash puede reemplazar atómicamente un directorio padre dentro del espacio de trabajo por un enlace simbólico después de la validación, provocando que la implementación de Edit sin sandbox sobrescriba un archivo escribible por el usuario…https://alertas.dupin.com.ar/cve/CVE-2026-96620/tg:59486Fri, 16 Oct 2026 20:44:58 +0000VulnerabilidadAntes de 0.2.121, la opción resume se pasa al CLI de Claude como token separado sin validación, por lo que un valor que comienza con guion se interpreta como flag independiente; un atacante puede inyectar --mcp-config para definir un servidor MCP stdio y ejecutar comandos arbitrarios al iniciar el CLI fuera de los controles de permisos del SDK. Corregido en 0.2.121.