Anthropic laisse ouverte une faille de Claude Dispatch permettant à une extension d'exécuter du code via Claude Desktop
Gal Weizman (Forever Security) a dit à The Register avoir signalé « ThisBash » en mai ; Anthropic l'a classé doublon, sans prime ni CVE, et a dit prévoir de retirer Dispatch.
Pourquoi c’est important
Les fonctions d'agent transforment la confiance du navigateur en exécution de code : Weizman a trouvé l'interface de Dispatch accessible depuis une session claude.ai normale, donc toute extension contrôlant cette page pouvait piloter Claude Desktop sur la machine ou une autre liée au compte. Selon The Register, Anthropic le sait depuis mai, a classé le rapport en doublon et prévoyait de retirer Dispatch fin octobre, mais sa page d'aide le listait encore le 30 octobre. À suivre : un correctif, une date de retrait ou un CVE.
Faits clés
- Faille « ThisBash », trouvée par Gal Weizman (Forever Security)
- Dispatch accessible depuis une session claude.ai normale
- Peut atteindre une autre machine du même compte
- Signalée en mai ; classée doublon
- Ni prime ni CVE
- Le 30 octobre, l'aide listait encore Dispatch en bêta limitée