待验证50% 置信事实精确时间
Claude Code Desktop 应用的 HTML 预览功能存在漏洞，攻击者可利用藏在预览文件中的脚本读取本地 SSH 私钥、AWS 凭证和 GitHub Token 等数据。
1
来源数
50%
置信度
长期有效
时效性
2026/10/15
首次发现
来源
Claude Code桌面版256KB预览漏洞：可窃取SSH密钥
rss2026/10/15
涉及实体
相关事实
待验证工具投毒攻击可将读取 SSH 私钥并外传的隐藏指令暗藏在工具描述中，同时返回正确结果69% 相似待验证Hacker News 上出现了一个将文件加密后封装成自解密 HTML 页面的 Show HN 项目，接收方用浏览器打开输入密码即可还原文件，无需安装软件68% 相似待验证让来源不明的第三方软件桥接网页模型读写本地文件、控制鼠标键盘存在安全隐患，可能窃取屏幕内容、剪贴板数据乃至本地文件67% 相似待验证在演示中，豆包按照提示词执行后不仅确认了URL预览功能存在SSRF漏洞，还验证出任意文件读取问题67% 相似待验证缺乏隔离的智能体在抓取含恶意隐藏提示的本地 HTML 文档或网站时，会面临间接提示注入攻击，语言模型无法可靠区分合法命令与文档中埋藏的隐藏载荷67% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1035305API
curl https://kongchang.com/api/v1/knowledge/claims/1035305MCP
get_claim(id=1035305)