Claude Code é uma ferramenta de codificação agente. Antes da versão 2.1.64, a caixa de areia do Claude Code não impediu que os processos em caixa de areia criam links simbólicos apontando para locais fora do espaço de trabalho. Quando o Claude Code escreveu posteriormente para um caminho dentro de um link simbólico, seu processo não sacado seguiu o link simbólico e escreveu para o local alvo fora do espaço de trabalho sem pedir ao usuário para confirmação. Isto permitiu que uma caixa de areia escapasse onde nem o comando sandboxed nem o aplicativo unsandboxed pudessem escrever independentemente fora do espaço de trabalho, mas a sua combinação poderia escrever em locais arbitrários, potencialmente levando à execução de código fora da caixa de areia. Explorándo- se de forma confiável, foi necessária a capacidade de adicionar conteúdo não confiável em uma janela de contexto do Claude Code para desencadear a execução de código em caixa de areia através de injeção rápida. Usuários com atualização automática do código Claude padrão receberam esta correção automaticamente. Os usuários que executam atualizações manuais são aconselhados a atualizar para a versão 2.1.64 ou mais tarde. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 39861 foi publicado em 2026 - 04 - 21 T 01: 16: 06.647 Z e última modificação em 2026 - 06 - 17 T 10: 42: 43.163 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 4.0, pontuação de base 7.7, gravidade HIGH, vetor CVSS: 4.0 /AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/S:X/AU:X/R:X/V:X/X/RE:X/U:X; CVSS 3.1, pontuação de base 10, gravidade CRÍTICA, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, pontuação de exploração 3.9, pontuação de impacto 6; CVSS. Classificações de fraqueza associadas: CWE- 22, CWE- 61.
Produtos ou plataformas nomeados nos dados de aplicabilidade incluem: código de claude antrópico.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.