There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Claude Code is an agentic coding tool. In versions prior to 2.1.75 on Windows, Claude Code loaded the
    system-wide default configuration from C:\ProgramData\ClaudeCode\managed-settings.json without validating
    directory ownership or access permissions. Because the ProgramData directory is writable by non-
    administrative users by default and the ClaudeCode subdirectory was not pre-created or access-restricted,
    a low-privileged local user could create this directory and place a malicious configuration file that
    would be automatically loaded for any user launching Claude Code on the same machine. Exploiting this
    would have required a shared multi-user Windows system and a victim user to launch Claude Code after the
    malicious configuration was placed. This issue has been fixed on version 2.1.75. (CVE-2026-35603)

遠端 Windows 主機上安裝的 Anthropic Claude Code 版本早於 2.1.75。因此會受到一個本機特權提升弱點影響。

在Windows上，Claude Code 從 C：\ProgramData\ClaudeCode\managed-settings.json 載入了系統範圍的預設配置，而沒有驗證目錄所有權或存取權限。由於預設情況下，ProgramData 目錄可由非管理使用者寫入，並且 ClaudeCode 子目錄不是預先建立或存取限制的，因此低權限的本機使用者可以建立此目錄並放置一個惡意設定檔，該設定檔將自動載入給在同一台機器上啟動 Claude Code 的任何使用者。（CVE-2026-35603）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Windows 主机上安装的 Anthropic Claude Code 版本低于 2.1.75. 因此，它受到本地权限升级漏洞的影响。

在 Windows 中，Claude Code 在未验证目录所有权或访问权限的情况下，从 C：\ProgramData\ClaudeCode\managed-settings.json 加载了系统范围的默认配置。由于 ProgramData 目录默认可由非管理用户写入，并且 ClaudeCode 子目录不是预先创建的，也没有对访问进行限制，因此低权限本地用户可以创建此目录并放置恶意配置文件，以便同一计算机上启动 Claude Code 的任何用户自动加载该文件。（CVE-2026-35603）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Windows ホストにインストールされている Anthropic Claude Code のバージョンは、 2.1.75 より前です。そのため、ローカルの権限昇格の脆弱性による影響を受けます。

Windowsで、Claude Code がディレクトリの所有権やアクセス権限を検証せずに、C:\ProgramData\ClaudeCode\managed-settings.json からシステム全体のデフォルト構成をロードしていました。ProgramData ディレクトリはデフォルトで管理者以外のユーザーによる書き込みが可能で、ClaudeCode サブディレクトリが事前に作成されておらず、アクセス制限もされていないため、権限の低いローカルユーザーがこのディレクトリを作成し、同じマシンで Claude Code を起動するユーザーに対して自動的にロードされる悪意のある構成ファイルを配置する可能性があります。(CVE-2026-35603)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Anthropic Claude Code installed on the remote Windows host is prior to 2.1.75. It is, therefore, affected by a local privilege escalation vulnerability.

On Windows, Claude Code loaded system-wide default configuration from C:\ProgramData\ClaudeCode\managed-settings.json without validating directory ownership or access permissions. Because the ProgramData directory is writable by non-administrative users by default and the ClaudeCode subdirectory was not pre-created or access-restricted, a low-privileged local user could create this directory and place a malicious configuration file that would be automatically loaded for any user launching Claude Code on the same machine. (CVE-2026-35603)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
440609	SCA: security update for @anthropic-ai/claude-code (GHSA-5cwg-9f6j-9jvx)	Tenable Cloud Security	SCA Checks	2026/4/18	2026/7/2	medium
440609	SCA: security update for @anthropic-ai/claude-code (GHSA-5cwg-9f6j-9jvx)	Tenable Self-Hosted Container Security	SCA Checks	2026/4/18	2026/7/2	medium
316500	Anthropic Claude 程式碼< 2.1.75 透過不安全的設定載入進行本機權限提升（CVE-2026-35603）	Nessus	Artificial Intelligence	2026/5/22	2026/5/25	medium
316500	Anthropic Claude 代码< 2.1.75 通过不安全的配置加载造成本地权限升级（CVE-2026-35603）	Nessus	Artificial Intelligence	2026/5/22	2026/5/25	medium
316500	Anthropic Claude コード< 2.1.75 安全でない構成のロードによるローカルの権限昇格(CVE-2026-35603)	Nessus	Artificial Intelligence	2026/5/22	2026/5/25	medium
316500	Anthropic Claude Code < 2.1.75 Local Privilege Escalation via Insecure Configuration Loading (CVE-2026-35603)	Nessus	Artificial Intelligence	2026/5/22	2026/5/25	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium