Falha Zero-Click RCE em Extensões Claude Desktop Expõe Mais de 10 Mil Usuários a Ataques Silenciosos

Pesquisadores da empresa de segurança LayerX descobriram uma vulnerabilidade crítica (CVSS 10/10) nas Extensões Claude Desktop (DXT) que pode permitir a execução remota de código (RCE) com interação zero do usuário. Essa falha expõe mais de 10 mil usuários a ataques silenciosos, destacando um risco significativo para a segurança de dados e sistemas. ️ No proof-of-concept divulgado pela LayerX, um atacante enviaria à vítima um convite do Google Calendar contendo instruções maliciosas na descrição do evento. A vítima, ao pedir a Claude para gerenciar seu calendário ou verificar eventos, desencadearia a execução dessas instruções. A vulnerabilidade é possibilitada pelo fato de que o Claude DXT executa intencionalmente sem qualquer isolamento, abrindo a porta para explorações diretas.