FICHE CVE

CVE-2025-57755

Publiée le 2025-08-21 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs de l'outil `claude-code-router` risquent de voir leurs clés API ou leurs identifiants volés en raison d'une politique CORS mal configurée. Un attaquant peut exfiltrer ces identifiants à distance via un site web malveillant, ce qui pourrait lui permettre d'utiliser abusivement votre compte, d'épuiser vos quotas ou d'accéder à des données sensibles. Cette attaque est facile à exécuter via un réseau et ne nécessite ni authentification ni privilèges particuliers pour être réalisée.

CVSS 4.08.1 ÉLEVÉE

Type de faiblesse

Exposition d'informations · CWE-200 CWE-942

Publiée2025-08-21

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitNon signalée

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

claude-code-router is a powerful tool to route Claude Code requests to different models and customize any request. Due to improper Cross-Origin Resource Sharing (CORS) configuration, there is a risk that user API Keys or equivalent credentials may be exposed to untrusted domains. Attackers could exploit this misconfiguration to steal credentials, abuse accounts, exhaust quotas, or access sensitive data. The issue has been patched in v1.0.34.