Noma Labs 披露 Claude Code Desktop 预览窗漏洞链 SneakPeek，可静默窃取本机密钥

Noma Labs 公开了 Anthropic Claude Code Desktop 中的漏洞链 SneakPeek，CVSS 8.7，攻击者可静默执行任意 JavaScript 并外泄本机凭证，Anthropic 已发布多层安全更新修复。漏洞出在基于 Electron 的预览窗，小于 256KB 的 HTML 文件转为带严格 CSP 的 base64 data: URL，超过 256KB 的文件则写入磁盘并以 file:// URL 直接加载，绕过 CSP 脚本拦截并获得本地文件系统访问权限，而用于阻断 file:// 请求的过滤器在静态文件渲染时未生效。Anthropic 最初拦截 fetch() 与 XMLHttpRequest 的补丁被 blob: URL 中启动的 Web Worker 绕过，随后部署了覆盖所有执行上下文的完整修复。