Données et sécurité
Claude Code 2.1.260 annule le durcissement de sécurité Bash Read() livré la veille en 2.1.259
Anthropic
- Source
- Sources citées · portée à lire dans le détail
- Preuve
- Preuve actuelle non établie · dernière preuve du 4 septembre 2026
- Revue
- Contre-revue à compléter
Contre-vérification à compléter : La contre-vérification de cette version n’est pas établie. Lire la méthode
Le CHANGELOG brut de Claude Code, relu intégralement le 2026-09-04, montre l'étiquette « latest » avancer de 2.1.259 à 2.1.260 (publiée 2026-09-03T22:32:02Z). Entrée verbatim relevée sous « Reverted » : « Reverted the 2.1.259 change applying Read() deny rules to Bash arguments; it denied npm run build under a Read(./**/build/**) rule in every mode and made cd … && grep prompt even in auto mode. » Ce durcissement, présenté la veille comme corrigeant un contournement de règle de refus Bash (par valeur d'option, opérande de fichier git diff/grep, ou composé cd DIR && cat FICHIER), est donc retiré un jour après sa publication parce qu'il bloquait à tort des commandes légitimes. Le contournement documenté hier redevient donc possible dans l'étiquette « latest ». L'autre correctif de sécurité de la 2.1.259, sur les paramètres managés illisibles empêchant désormais le démarrage, n'apparaît pas comme annulé dans le journal de la 2.1.260. La 2.1.260 ajoute par ailleurs un panneau de diff en plein écran (/diff), une cause probable de raté de cache de prompt dans /cost, /reload-plugins en session headless et une trentaine d'autres correctifs. L'étiquette « stable » reste en 2.1.236 (artefact du 2026-08-19).
Réserve
Aucun bulletin de sécurité formel ni identifiant CVE n'accompagne ni le correctif de la 2.1.259 ni son revert dans la 2.1.260. Le maintien du second correctif de sécurité de la 2.1.259 (paramètres managés illisibles) n'est pas confirmé positivement, seulement l'absence de mention de son annulation.
Repère belge
Point le plus actionnable du jour pour une organisation belge : la protection contre le contournement de règle de refus Bash par valeur d'option ou composé de commande a disparu du canal « latest » un jour après son apparition, et n'a jamais atteint le canal « stable ». Une équipe qui avait communiqué en interne sur cette protection doit corriger cette communication et durcir ses propres règles de refus explicites plutôt que de compter sur ce comportement.
Preuves
- CHANGELOG.md brut — entrée 2.1.260, section Reverted (nouvel onglet)
- Registre npm — dist-tags @anthropic-ai/claude-code (nouvel onglet)
Détection : aucun signal enregistré
Dernière tentative de lecture : 2026-09-04.
Une source permet d’examiner une affirmation dans son contexte. Son statut et le nombre de liens ne garantissent pas le résultat. La méthode est décrite dans les sources et les limites.