Zero-click RCE через Google Calendar в Claude Desktop
Дослідники LayerX знайшли критичну вразливість (CVSS 10/10) в Claude Desktop Extensions. Розширення DXT працюють без пісочниці, з повними правами в системі.
Схема атаки: вам приходить запрошення в Google Calendar зі схованими командами в описі. Ви просите Claude «перевір календар і розберись» — він автономно виконує шкідливий код. Без підтверджень, без попереджень.
Anthropic в курсі, але виправляти відмовились — вважають, що це зона відповідальності користувача.
Якщо користуєтеся MCP-розширеннями на робочій машині — вимикайте або запускайте в віртуалці.
