CVE-2026-35603

Claude Code es una herramienta de codificación agéntica. En las versiones anteriores a la 2.1.75 en Windows, Claude Code cargaba la configuración predeterminada de todo el sistema desde C:\ProgramData\ClaudeCode\managed-settings.json sin validar la propiedad del directorio ni los permisos de acceso. Dado que el directorio ProgramData es escribible por usuarios no administrativos de forma predeterminada y el subdirectorio ClaudeCode no estaba creado previamente ni tenía acceso restringido, un usuario local con privilegios bajos podía crear este directorio y colocar un archivo de configuración malicioso que se cargaría automáticamente para cualquier usuario que iniciara Claude Code en la misma máquina. Su explotación habría requerido un sistema Windows multiusuario compartido y que un usuario víctima iniciara Claude Code después de que se colocara la configuración maliciosa. Este problema se ha corregido en la versión 2.1.75.