Claude Code Desktop : une faille du panneau d'aperçu permet l'exfiltration de données

Noma Labs a découvert une chaîne d'exploitation dans le panneau d'aperçu de Claude Code Desktop, qui permet une lecture arbitraire de fichiers via l'exécution de JavaScript. Un HTML piégé, déguisé en rapport de couverture, contourne le sandbox : les fichiers de plus de 256 Ko sont chargés via file://, donnant un accès same-origin au système de fichiers local. Clés API, clés SSH, identifiants cloud et jetons OAuth peuvent être exfiltrés. Anthropic a évalué la faille à CVSS 8,7 (High).