Apa yang terjadi
CVE-2026-46406 (CVSS 6.1 Medium) mempengaruhi Claude Code versi 2.1.59 melalui 2.1.127. /copy command menulis AI responses ke hardcoded predictable path (/tmp/claude/response.md) dengan world-readable permissions (0644) dalam world-traversable directory (0755), tanpa UID isolation, randomness, atau symlink protection. Any local unprivileged user dapat (1) passively membaca file untuk memperoleh secrets dalam privileged user's Claude session, atau (2) pre-create symlink pada path untuk menyebabkan privileged Claude Code process menimpa attacker-chosen file dengan response content. Dipublikasikan 2026-06-29.
Mengapa penting
Dalam AI/agentic developer workflows, Claude Code sessions sering berisi API keys, infrastructure secrets, database credentials, dan proprietary code. Dalam multi-user development environments, CI runners, dan containerised AI pipelines di mana multiple processes berbagi /tmp, symlink attack memungkinkan any co-tenant untuk corrupt critical files (shell profile, infrastructure config, deployment scripts) dengan AI-generated content.
Vektor serangan
Local unprivileged attacker pre-creates /tmp/claude/response.md sebagai symlink ke target file (misal, ~/.bashrc, Terraform config). Ketika privileged user menjalankan /copy command dalam Claude Code, process mengikuti symlink dan menimpa target dengan AI response content.
Sistem yang terdampak
@anthropic-ai/claude-code 2.1.59 – 2.1.127
Mitigasi
Update @anthropic-ai/claude-code ke versi 2.1.128 atau lebih baru. Users yang menggunakan auto-update sudah menerima fix ini. Advisory: GHSA-4vp2-6q8c-pvq2.