CVE-2026-35603

Claude Code est un outil de codage agentique. Dans les versions antérieures à 2.1.75 sur Windows, Claude Code chargeait la configuration par défaut à l'échelle du système depuis C:\ProgramData\ClaudeCode\managed-settings.json sans valider la propriété du répertoire ni les autorisations d'accès. Comme le répertoire ProgramData est accessible en écriture aux utilisateurs non-administrateurs par défaut et que le sous-répertoire ClaudeCode n'était ni pré-créé ni à accès restreint, un utilisateur local peu privilégié pouvait créer ce répertoire et y placer un fichier de configuration malveillant qui serait automatiquement chargé pour tout utilisateur lançant Claude Code sur la même machine. Son exploitation aurait nécessité un système Windows multi-utilisateur partagé et qu'un utilisateur victime lance Claude Code après le placement de la configuration malveillante. Ce problème a été corrigé dans la version 2.1.75.