Claude Code 2.1.325 behebt ein Sicherheitsproblem bei der zstd-Dekodierung und verlangt standardmäßig eine Genehmigung für Bash-Befehle in der Sandbox

Claude Code v2.1.325, veröffentlicht am 13. November 2026 laut Release Notes, enthält eine Sicherheitskorrektur für die Dekodierung zstd-komprimierter Antworten, strengere Berechtigungs- und Sandbox-Regeln sowie eine lange Liste weiterer Fehlerbehebungen.

Änderungen, die sich auf bestehende Konfigurationen auswirken können:

• Bash-Befehle in der Sandbox durchlaufen jetzt standardmäßig den normalen Berechtigungsablauf. Setze sandbox.autoAllowBashIfSandboxed: true, damit sie weiterhin ohne Rückfrage ausgeführt werden. Wenn verwaltete Einstellungen die Sandbox aktivieren, setze den Wert in der verwalteten Quelle mit der höchsten Priorität.
• Schreibgeschützte Git-Befehle fragen in einem Repository, das weder zum Projekt gehört noch als vertrauenswürdig eingestuft ist, zuerst nach. Wird das Repository mit --add-dir angegeben (nicht mit der Einstellung additionalDirectories), entfällt die Rückfrage.
• Geplante Aufgaben und /loop fragen nach, bevor ein Skill ausgeführt wird, der allowed-tools oder Hooks deklariert. Füge Skill(name) zu permissions.allow hinzu, um ihn unbeaufsichtigt auszuführen.
• „Immer erlauben“ bietet in Desktop-, IDE- und SDK-Hosts nur dann eine Regel an, wenn sie bei ihrer Speicherung die erneute Ausführung dieses Befehls erlauben würde. Eine geplante Aufgabe, die sich auf eine solche Regel stützte, kann daher jetzt auf eine Eingabe warten.
• Die Sandbox verweigert Schreibzugriffe auf .claude-Einstellungen, Skills, Agents, Befehle und Hooks in hinzugefügten Verzeichnissen – wie bereits im Startverzeichnis.
• In einer isolierten Worktree-Sitzung oder einem isolierten Agenten werden git bisect run, git maintenance register|start und die Einrichtungsbefehle von scalar verweigert.
• MCP-Plugin-Bundles (.mcpb, .dxt) werden im Plugin-Verzeichnis entpackt; pluginDigests ist veraltet und wird ignoriert. .claude/skills-Ordner in Plugins aus --plugin-dir werden nicht mehr geladen, wenn eine Sitzung in einem übergeordneten Verzeichnis gestartet wurde.
• Bei Marketplace-ref wird die vollständige ID jedes beliebigen Commits akzeptiert; Clients vor dieser Version können solche festgelegten Commits nicht klonen. Plugin-Downloads verwenden einen CONNECT-Tunnel, wenn ALL_PROXY der einzige gesetzte Proxy ist. Ein Proxy, der CONNECT verweigert, führt nun zum Fehlschlagen der Downloads.
• claude remote-control wird mit Status 4 beendet, wenn es von selbst stoppt, und mit Status 69, wenn die Registrierung fehlschlägt.
• CLAUDE_CODE_MAX_CONTEXT_TOKENS legt auch das Kontextfenster für nicht erkannte claude--Modell-IDs fest, etwa für einen Alias eines Gateways.

Korrekturen bei Berechtigungen und Sandbox: Behoben wurden Fälle, in denen ein zusammengesetzter Bash-Befehl ohne Rückfrage ausgeführt werden konnte, eine Bash-Zulassungsregel ein anderes als das darin angegebene Programm ausführen konnte, manche Verweigerungs- und Rückfrageregeln nicht griffen und relative Verweigerungsregeln wie Read(./.env) nach einem cd nicht mehr für das Projekt galten. Außerdem schützte die Bash-Sandbox die Einstellungen, Hooks und den gemeinsam genutzten Git-Ordner eines Worktrees nicht vollständig. Mehrere Korrekturen betreffen das Veröffentlichen von Artifacts auf Seiten, die außerhalb einer Organisation sichtbar sind.

Weitere Ergänzungen: In VS Code gibt es Prompt-Vorschläge (Übernehmen mit Tab) und eine Konsolenanmeldung, die keinen API-Schlüssel erstellt; einen Spinner-Tipp zum erneuten Ausführen einer Notebook-Zelle; sowie einen Hinweis unter richtlinienbedingt blockierten Fehlern, /rewind oder /clear auszuführen. Die übrigen Änderungen beheben Probleme bei Anmeldung und Login, MCP-Aufgaben und Elicitation, Subagent-Modellen, dem Fortsetzen von Sitzungen, OpenTelemetry-Ereignissen sowie dem Verhalten unter Windows und Linux.