CVE-2026-35603

Claude Code ist ein agentisches Coding-Tool. In Versionen vor 2.1.75 unter Windows lud Claude Code die systemweite Standardkonfiguration aus C:\ProgramData\ClaudeCode\managed-settings.json, ohne Verzeichnisbesitz oder Zugriffsberechtigungen zu validieren. Da das ProgramData-Verzeichnis standardmäßig für nicht-administrative Benutzer beschreibbar ist und das ClaudeCode-Unterverzeichnis weder vorab erstellt noch zugriffsbeschränkt war, konnte ein lokaler Benutzer mit niedrigen Privilegien dieses Verzeichnis erstellen und eine bösartige Konfigurationsdatei ablegen, die automatisch für jeden Benutzer geladen würde, der Claude Code auf demselben Rechner startet. Eine Ausnutzung hätte ein gemeinsam genutztes Windows-System mit mehreren Benutzern und einen Opferbenutzer erfordert, der Claude Code startet, nachdem die bösartige Konfiguration abgelegt wurde. Dieses Problem wurde in Version 2.1.75 behoben.