cve-2026-54316-lab

CVE-2026-54316 — Claude Code WebFetch HuggingFace 데이터 유출 실습 환경 GHSA-fg94-h982-f3mm / CVE-2026-54316을 재현하는 자립형 일회용 실습 환경입니다: Claude Code는 WebFetch 도구에 대해 huggingface.co를 베어 호스트 이름 으로 사전 승인했기 때문에, 해당 도메인의 모든 경로공격자가 제어하는 모델 저장소 포함가 권한 프롬프트 없이 fetch되었습니다. 프롬프트 인젝션과 결합하면 이는 데이터를 외부로 유출하는 대역 외 채널이 되며,...