p PatchFirst

CVE-2026-96620

CVE-2026-96620 · Claude Agent SDK: Argument Injection via resume Option Allows Arbitrary Command Execution

This page contains facts from public vulnerability sources. Check the original advisory before updating.

Claude Agent SDK is a Python SDK for Claude Code. Prior to 0.2.121, the resume option is passed to the Claude CLI as a separate token without validation, so a dash-leading value is parsed as an independent CLI flag. An attacker can inject the --mcp-config flag to define a stdio MCP server, causing arbitrary command execution at CLI startup outside the SDK permission controls. The issue is exploitable when an application passes untrusted input as the session ID to resume. This issue is fixed in version 0.2.121.

CVSS 9.2 · Critical · EPSS 0.6% · Fix available

Published
Updated

Stack: python

Affected products and versions

  • claude-agent-sdk-python

    Versions
    • < 0.2.121: Affected

    No fix published

  • claude-agent-sdk PyPI

    Versions
    • 0.0.23
    • 0.1.0
    • 0.1.1
    • 0.1.10
    • 0.1.18
    • 0.1.19
    • 0.1.2
    • 0.1.20
    • 0.1.21
    • 0.1.22
    • 0.1.23
    • 0.1.25
    • 0.1.26
    • 0.1.27
    • 0.1.29
    • 0.1.3
    • 0.1.30
    • 0.1.31
    • 0.1.33
    • 0.1.34
    • 0.1.35
    • 0.1.36
    • 0.1.37
    • 0.1.38
    • 0.1.39
    • 0.1.4
    • 0.1.41
    • 0.1.43
    • 0.1.44
    • 0.1.45
    • 0.1.46
    • 0.1.47
    • 0.1.48
    • 0.1.49
    • 0.1.5
    • 0.1.50
    • 0.1.51
    • 0.1.52
    • 0.1.53
    • 0.1.54
    • 0.1.55
    • 0.1.56
    • 0.1.58
    • 0.1.59
    • 0.1.6
    • 0.1.60
    • 0.1.61
    • 0.1.62
    • 0.1.63
    • 0.1.64
    • 0.1.65
    • 0.1.66
    • 0.1.68
    • 0.1.69
    • 0.1.7
    • 0.1.70
    • 0.1.71
    • 0.1.72
    • 0.1.73
    • 0.1.74
    • 0.1.75
    • 0.1.76
    • 0.1.77
    • 0.1.78
    • 0.1.8
    • 0.1.80
    • 0.1.81
    • 0.1.9
    • 0.2.100
    • 0.2.101
    • 0.2.102
    • 0.2.103
    • 0.2.104
    • 0.2.105
    • 0.2.106
    • 0.2.107
    • 0.2.108
    • 0.2.109
    • 0.2.110
    • 0.2.111
    • 0.2.112
    • 0.2.113
    • 0.2.114
    • 0.2.115
    • 0.2.116
    • 0.2.117
    • 0.2.118
    • 0.2.119
    • 0.2.120
    • 0.2.82
    • 0.2.83
    • 0.2.84
    • 0.2.85
    • 0.2.86
    • 0.2.87
    • 0.2.88
    • 0.2.89
    • 0.2.90
    • 0.2.91
    • 0.2.93
    • 0.2.94
    • 0.2.95
    • 0.2.96
    • 0.2.97
    • 0.2.99
    Affected ranges
    • ECOSYSTEM: < 0.2.121

    Update to 0.2.121

Original sources

Check your server →