CVE-2025-59536

Exécution de code non autorisée dans Claude Code

Une faille de sécurité critique, identifiée sous le numéro CVE-2025-59536, a été découverte dans des versions antérieures à 1.0.111 de Claude Code, un outil de codage agentique développé par Anthropic.

Points clés :

• La vulnérabilité permet l’exécution de code arbitraire.
• Elle affecte l’implémentation du dialogue de confiance au démarrage de l’outil.
• Elle peut être exploitée lorsqu’un utilisateur lance Claude Code dans un répertoire non fiable.

Vulnérabilité :

• Nom : Injection de code
• CVE : CVE-2025-59536
• Description : Le dialogue de confiance au démarrage de Claude Code ne valide pas correctement le code exécutable intégré dans un projet. Cela permet l’exécution de commandes shell arbitraires ou l’exfiltration de clés API sans l’approbation explicite de l’utilisateur. L’exploitation repose sur l’ouverture de dépôts non fiables contenant des configurations malveillantes, notamment via des “Hooks” ou des serveurs MCP.

Recommandations :

• Mettre à jour Claude Code vers la version 1.0.111 ou une version ultérieure.
• Éviter d’exécuter Claude Code dans des répertoires ouverts à partir de sources non fiables.

Source