Anthropic deixa aberta falha do Claude Dispatch que permite a uma extensão executar código pelo Claude Desktop
Gal Weizman, da Forever Security, disse ao The Register que relatou o 'ThisBash' em maio; a Anthropic marcou como duplicado, não pagou recompensa nem emitiu CVE e disse que aposentaria o Dispatch.
Por que importa
Recursos de agente transformam a confiança do navegador em execução de código: Weizman achou a interface do Dispatch acessível a partir de uma sessão normal do claude.ai, então qualquer extensão que controle essa página poderia comandar o Claude Desktop na mesma máquina ou em outra logada na conta. O Register diz que a Anthropic sabe desde maio, fechou o relato como duplicado e planejava aposentar o Dispatch no fim de outubro, mas a página de suporte ainda o listava em 30 de outubro. Observe correção, data de retirada ou CVE.
Fatos principais
- Falha 'ThisBash', achada por Gal Weizman (Forever Security)
- Dispatch acessível de sessão normal do claude.ai
- Pode alcançar outra máquina da mesma conta
- Relatada em maio; fechada como duplicada
- Sem recompensa e sem CVE
- Em 30 de outubro o suporte ainda listava o Dispatch em beta