CVE-2026-73614
Publiée le 2026-08-13 · Dernière modification le 2026-10-24
Les versions de Network-AI ClaudeHookBridge antérieures à la version 5.15.1 sont affectées par un contournement de filtre qui permet à un attaquant d'exécuter des commandes arbitraires sur le système hôte. En plaçant du code malveillant après le 500e caractère d'un champ de commande Bash, un attaquant peut masquer des instructions dangereuses à la « liste d'exclusion » de sécurité. Cet exploit peut être réalisé via le réseau avec une faible complexité, bien qu'il nécessite que l'attaquant dispose d'un accès utilisateur authentifié de base.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Network-AI ClaudeHookBridge before 5.15.1 truncates the target string to 500 characters before evaluating denyPatterns, while Claude Code executes the full untruncated command. Attackers can position dangerous content past byte 500 in a Bash command field to bypass the operator's hard-deny list and execute arbitrary commands.