CVE-2026-24052: fallo de gravedad alta en anthropics claude-code
Claude Code has a Domain Validation Bypass which Allows Automatic Requests to Attacker-Controlled Domains
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Claude Code tenía una falla en la validación de dominios confiables que solo verificaba si la URL comenzaba con un dominio seguro, sin comprobar dónde terminaba realmente el dominio. Un atacante podría registrar un dominio falso como 'modelcontextprotocol.io.example.com' que pasaría la verificación, engañando a la herramienta para enviar solicitudes automáticas a su servidor y robar datos.
La vulnerabilidad existe en el mecanismo de validación de dominios confiables para solicitudes WebFetch, que utiliza comparación startsWith() en lugar de validación adecuada de límites de dominio. Un atacante puede registrar un subdominio o dominio padre que comience con un nombre de dominio legítimo confiable para eludir la validación y desencadenar solicitudes automáticas a infraestructura controlada por el atacante, potencialmente exfiltrando datos sensibles sin interacción del usuario. El problema se corrigió en la versión 1.0.111.
En el mismo producto, de las más peligrosas a las menos.