В Claude Code Desktop нашли уязвимость SneakPeek с утечкой секретов

Noma Security обнаружила в десктопном приложении Claude Code уязвимость SneakPeek: вредоносный JavaScript в HTML-файле выполнялся в панели предпросмотра без действий пользователя и мог слить AWS-ключи, GitHub-секреты и SSH-ключи. Anthropic присвоила проблеме CVSS 8.7 и полностью её закрыла, готовится GitHub Security Advisory и CVE.

• Уязвимость SneakPeek получила оценку CVSS 8.7 (High)
• Файлы больше 256 КБ грузились через file:// в обход CSP
• Первый патч обходился через Web Worker, потребовалась переработка
• Anthropic готовит GitHub Security Advisory и запрос на CVE