CVE-2026-86063— Claude Code 插件哈希签名绕过漏洞
一分钟漏洞结论
影响对象
anthropics claude-code
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Claude Code 是一款智能体编码工具。在版本 2.1.179 之前，Claude Code 和 Claude Desktop 插件的安装流程会使用 命令切换至市场锁定的提交（marketplace-pinned commit），但并未验证最终 HEAD 是否等于该锁定的 40 字符 SHA 值。如果攻击者控制了一个 Git 主机上支持以 SHA 命名分支的插件仓库，他们可以创建一个名为已审查提交 SHA 的分支，从而使 操作选择该分支的尖端（tip）并安装由攻击者控制的插件代码。利用此漏洞需要用户安装恶意插
可能的 ATT&CK 技术 1 AI
T1587.001 · Malware影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| anthropics | claude-code | < 2.1.179 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-86063 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Claude Code: Plugin Hash Pin Bypass Allows Bypass of Hash Pinning
来源: CVE Program / CVE List V5
Vulnerability Description
Claude Code is an agentic coding tool. Prior to 2.1.179, the Claude Code and Claude Desktop plugin installation flow runs git checkout for a marketplace-pinned commit without verifying that the resulting HEAD equals the pinned 40-character SHA. An attacker who controls a plugin repository on a Git host that permits SHA-shaped branch names can create a branch named after the reviewed commit, causing checkout to select the branch tip and install attacker-controlled plugin code. Exploitation requires a user to install the malicious plugin and pin it to the ostensibly safe hash. This issue is fixed in version 2.1.179.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
下载代码缺少完整性检查
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| anthropics | claude-code | < 2.1.179 | - |
|
二、漏洞 CVE-2026-86063 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-86063 的情报信息
请登录查看更多情报信息。
CVE-2026-86063 厂商安全公告 (1)
CVE-2026-86063 厂商页面 (1)
-
🔗 Release v2.1.179 · anthropics/claude-code · GitHub x_refsource_MISC
IV. Related Vulnerabilities
V. Comments for CVE-2026-86063
暂无评论