Faille critique dans Claude Code : exfiltration via DNS après injection indirecte de prompts
Selon une publication de recherche référencée sur embracethered.com, une vulnérabilité à haute sévérité a été identifiée et corrigée dans Claude Code d’Anthropic, exposant les utilisateurs à un détournement de l’assistant et à l’exfiltration de données. — L’essentiel: l’attaque repose sur une injection indirecte de prompts capable de forcer Claude Code à exfiltrer des informations sensibles depuis les machines des développeurs. Elle abuse d’une allowlist de commandes bash (notamment ping, nslookup, dig, host) ne nécessitant pas d’approbation utilisateur et encode les données volées dans des requêtes DNS vers des serveurs contrôlés par l’attaquant. Anthropic a reçu la divulgation de manière responsable et a corrigé la vulnérabilité. 💡🔒 ...