Claude Code 2.1.251、権限チェックを迂回できた経路をまとめて修正

Claude CodeのCHANGELOGに8月28日、2.1.251の項が追加された。ファイルツールがシンボリックリンク経由で承認範囲外を読み書きしうる問題など、権限まわりの修正が並ぶ。モデル切り替え用のフックイベントも追加された。

Claude-Code Anthropic AI-coding-tools security permissions

Anthropic の Claude Code に 2.1.251 の項が追加されました。CHANGELOG に日付欄はありませんが、この項を追記したコミットは2026年8月28日付です¹。

ファイルツール（Read / Write / Edit）が、権限チェックの後に作業ディレクトリ内で差し替えられたシンボリックリンクをたどってしまい、承認された場所の外を読み書きしうる問題を修正した¹
マーケットプレイス項目で宣言されたプラグインコマンドがプラグインディレクトリの外を指せた問題を修正し、そうしたパスはパストラバーサルのエラーとして拒否するようにした¹
Grep と Glob が、シンボリックリンク経由でたどり着いたファイルに Read(...) の拒否ルールを適用していなかった問題も修正した¹
機能面では PreModelSwitch / PostModelSwitch フックイベントが追加され、モデルの切り替えをブロック・確認・注釈できるようになった¹

このほか、Workflow ツールが権限チェック前に範囲外の scriptPath を読んでいた点も修正対象です¹。CHANGELOG に CVE 番号や深刻度の記載はなく、実害があったかどうかも書かれていません。ただ、いずれも「承認した範囲の外に手が届く」種類の修正なので、権限やフックで Claude Code の動ける範囲を絞って運用しているなら、更新の優先度は上がります。8月14日からauto modeが既定になったことで、承認なしに動く範囲そのものが広がっている点もあわせて見ておきたいところです。

Sources

Claude Code CHANGELOG - Anthropic公式リポジトリ（2.1.251の項、追記コミットは2026年8月28日）