关键漏洞信息 漏洞标题 Permissive Default Allowlist Enables Unauthorized File Read and Network Exfiltration in Claude Code 严重性 High CVSS v4 base metrics: 7.1 / 10 影响的包和版本 Package: @anthropic-ai/claude-code (npm) Affected versions: < v1.0.4 Patched versions: v1.0.4 描述 原因: 由于安全命令的允许列表过于宽泛，可以绕过Claude Code确认提示来读取文件并发送文件内容到网络上，而无需用户确认。可靠地利用此漏洞需要能够将不受信任的内容添加到Claude Code上下文窗口中。 影响: 标准Claude Code自动更新的用户在发布后会自动收到此修复。当前Claude Code用户不受影响，因为1.0.24之前的版本已弃用并被迫更新。 报告者 感谢: https://hackerone.com/wunderwuzzi23 CVSS v4 基本指标 Exploitability Metrics - Attack Vector: Network - Attack Complexity: Low - Attack Requirements: None - Privileges Required: None - User interaction: Passive Vulnerable System Impact Metrics - Confidentiality: High - Integrity: None - Availability: None Subsequent System Impact Metrics - Confidentiality: None - Integrity: None - Availability: None CVE ID CVE-2025-55284 弱点 CWE-78