Anthropic lässt Claude-Dispatch-Lücke offen, über die eine Browser-Erweiterung Code via Claude Desktop ausführt
Gal Weizman von Forever Security sagte The Register, er habe 'ThisBash' im Mai gemeldet; Anthropic stufte es als Duplikat ein, zahlte keine Prämie, vergab keine CVE und kündigte das Aus für Dispatch an.
Warum es wichtig ist
Agentenfunktionen machen gewöhnliches Browser-Vertrauen zu Codeausführung: Weizman fand die Dispatch-Schnittstelle aus einer normalen claude.ai-Sitzung erreichbar, sodass jede Erweiterung, die diese Seite steuert, Claude Desktop auf demselben oder einem anderen angemeldeten Rechner lenken konnte. Laut The Register weiß Anthropic seit Mai davon, schloss die Meldung als Duplikat und wollte Dispatch Ende Oktober einstellen, doch die Support-Seite führte es am 30. Oktober noch. Zu beobachten: Fix, Abschaltdatum oder CVE.
Die wichtigsten Fakten
- Lücke 'ThisBash', entdeckt von Gal Weizman (Forever Security)
- Dispatch aus normaler claude.ai-Sitzung erreichbar
- Kann anderen Rechner desselben Kontos erreichen
- Im Mai gemeldet; als Duplikat geschlossen
- Keine Prämie, keine CVE
- Support-Seite listete Dispatch am 30. Oktober noch als Beta