CVE-2026-35603

Claude Code è uno strumento di codifica agentico. Nelle versioni precedenti alla 2.1.75 su Windows, Claude Code caricava la configurazione predefinita a livello di sistema da C:\ProgramData\ClaudeCode\managed-settings.json senza convalidare la proprietà della directory o le autorizzazioni di accesso. Poiché la directory ProgramData è scrivibile per impostazione predefinita da utenti non amministrativi e la sottodirectory ClaudeCode non era pre-creata né con accesso limitato, un utente locale con privilegi limitati poteva creare tale directory e inserire un file di configurazione dannoso che sarebbe stato caricato automaticamente per qualsiasi utente che avesse avviato Claude Code sulla stessa macchina. Lo sfruttamento avrebbe richiesto un sistema Windows multiutente condiviso e che un utente vittima avviasse Claude Code dopo l'inserimento della configurazione dannosa. Questo problema è stato corretto nella versione 2.1.75.