Anthropic deja abierto un fallo de Claude Dispatch que permite a una extensión ejecutar código vía Claude Desktop
Gal Weizman, de Forever Security, dijo a The Register que reportó 'ThisBash' en mayo; Anthropic lo marcó como duplicado, no pagó recompensa ni emitió CVE y dijo que retiraría Dispatch.
Por qué importa
Las funciones de agente convierten la confianza del navegador en ejecución de código: Weizman vio que la interfaz de Dispatch era accesible desde una sesión normal de claude.ai, así que cualquier extensión que controle esa página podría manejar Claude Desktop en el mismo equipo u otro con la misma cuenta. The Register dice que Anthropic lo sabe desde mayo, lo cerró como duplicado y planeaba retirar Dispatch a finales de octubre, pero su página de soporte seguía listándolo el 30 de octubre. Vigilar un parche, una fecha de retirada o un CVE.
Datos clave
- Fallo 'ThisBash', hallado por Gal Weizman (Forever Security)
- Dispatch accesible desde una sesión normal de claude.ai
- Puede alcanzar otra máquina con la misma cuenta
- Reportado en mayo; cerrado como duplicado
- Sin recompensa ni CVE
- El 30 de octubre el soporte aún listaba Dispatch en beta limitada