待验证50% 置信事实精确时间
攻击者可以在项目文件中嵌入带有动态URL的图片标签或链接等恶意构造内容，当开发者在 Claude Code Desktop 中使用预览功能查看该文件时触发外部请求，请求中携带的URL参数可能包含本地环境信息、文件路径或其他敏感数据。
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/15
首次发现
有效期至：2027/1/13
来源
Claude Code桌面版漏洞曝光：预览窗格成数据泄露通道
hackernewshackernews2026/10/15
涉及实体
相关事实
待验证渲染型数据外泄是指攻击者诱使受害者的客户端渲染引擎在解析恶意内容时主动发起携带敏感信息的网络请求，常见载体包括 <img src>、CSS url()、<link> 预加载、Markdown 图片语法，防御核心是内容安全策略（CSP）。67% 相似待验证预览窗格的渲染行为会执行内容解析，如果内容包含外部资源引用（如图片URL、样式表链接、Markdown结构），渲染引擎可能主动发起网络请求。64% 相似待验证API 现在支持图像 URL 输入，并提供了更详细的安全告警说明。62% 相似待验证ChatPromptTemplate处理图片输入时提供三种参数传入方式：URL方式、Base64编码和本地文件路径61% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1033933API
curl https://kongchang.com/api/v1/knowledge/claims/1033933MCP
get_claim(id=1033933)