Claude Code 2.1.325 में zstd डिकोडिंग की सुरक्षा समस्या ठीक की गई और सैंडबॉक्स किए गए Bash कमांड अब डिफ़ॉल्ट रूप से अनुमति माँगते हैं

Claude Code v2.1.325, जो इसके रिलीज़ नोट्स के अनुसार 13 नवंबर, 2026 को जारी हुआ, में zstd-कंप्रेस्ड जवाबों को डिकोड करने के तरीके से जुड़ा सुरक्षा सुधार, अनुमति और सैंडबॉक्स व्यवहार को अधिक सख़्त करने वाले बदलाव और कई अन्य सुधार शामिल हैं।

वे बदलाव जो मौजूदा सेटअप को प्रभावित कर सकते हैं:

• सैंडबॉक्स किए गए Bash कमांड अब डिफ़ॉल्ट रूप से सामान्य अनुमति प्रक्रिया का पालन करते हैं। उन्हें बिना पूछे चलाते रहने के लिए sandbox.autoAllowBashIfSandboxed: true सेट करें; सैंडबॉक्स चालू करने वाली प्रबंधित सेटिंग के लिए, इसे सबसे ऊँची प्राथमिकता वाले प्रबंधित स्रोत में सेट करें।
• किसी ऐसे रिपॉज़िटरी में, जो प्रोजेक्ट का या भरोसेमंद नहीं है, केवल-पढ़ने वाले git कमांड चलाने से पहले अनुमति माँगी जाएगी; उसे --add-dir से नाम देने पर (न कि additionalDirectories सेटिंग से) यह पूछताछ नहीं होगी।
• शेड्यूल किए गए टास्क और /loop, allowed-tools या hooks घोषित करने वाले skill को चलाने से पहले अनुमति माँगते हैं; उसे बिना निगरानी चलाने के लिए permissions.allow में Skill(name) जोड़ें।
• Desktop, IDE और SDK hosts में "Always allow" अकेले नियम का विकल्प तभी देता है, जब उसे सहेजने से वह कमांड दोबारा चलाने की अनुमति मिलेगी; इसलिए जो शेड्यूल किया गया टास्क ऐसे नियम पर निर्भर था, उसे अब इनपुट का इंतज़ार करना पड़ सकता है।
• सैंडबॉक्स, जोड़े गए डायरेक्टरी में .claude की सेटिंग, skills, agents, commands और hooks में लिखने से रोकता है—जैसा कि वह लॉन्च फ़ोल्डर में पहले से करता है।
• किसी पृथक worktree session या agent के लिए git bisect run, git maintenance register|start और scalar के सेट-अप कमांड अस्वीकार किए जाते हैं।
• Plugin MCP bundles (.mcpb, .dxt) plugins डायरेक्टरी के भीतर unpack होते हैं; pluginDigests अब अप्रचलित है और अनदेखा किया जाता है; --plugin-dir plugins में मौजूद .claude/skills फ़ोल्डर अब उनसे ऊपर शुरू किए गए session में लोड नहीं होते।
• Marketplace का ref अब किसी भी commit की पूरी ID स्वीकार करता है; इस संस्करण से पुराने clients ऐसे pin को clone नहीं कर सकते। यदि ALL_PROXY ही एकमात्र सेट proxy है, तो plugin डाउनलोड CONNECT tunnel का उपयोग करते हैं; CONNECT अस्वीकार करने वाला proxy अब डाउनलोड विफल कर देता है।
• claude remote-control अपने आप रुकने पर status 4 और रजिस्टर न कर पाने पर status 69 के साथ बाहर निकलता है।
• CLAUDE_CODE_MAX_CONTEXT_TOKENS अब अपरिचित claude- model IDs, जैसे किसी gateway के alias, की context window भी सेट करता है।

अनुमति और सैंडबॉक्स संबंधी सुधारों में ऐसे मामले शामिल हैं जहाँ Bash का संयुक्त कमांड बिना पूछे चल सकता था, Bash की allow rule अपने नाम वाले कमांड के बजाय कोई दूसरा प्रोग्राम चला सकती थी, कुछ deny और ask नियम लागू नहीं होते थे, Read(./.env) जैसे सापेक्ष deny नियम cd के बाद प्रोजेक्ट पर लागू नहीं रहते थे, और Bash सैंडबॉक्स worktree की सेटिंग, hooks और साझा git फ़ोल्डर को पूरी तरह सुरक्षित नहीं रखता था। कई सुधार ऐसे हैं जो Artifact को संगठन के बाहर दिखाई देने वाले pages पर प्रकाशित करने से जुड़े हैं।

अन्य सुविधाएँ: VS Code में prompt सुझाव (Tab से स्वीकार करें) और ऐसा Console साइन-इन जिससे कोई API key नहीं बनती; notebook cell दोबारा चलाने के बारे में spinner tip; policy द्वारा रोकी गई त्रुटियों के नीचे /rewind या /clear चलाने का संकेत। बाकी सुधार साइन-इन और लॉगिन, MCP tasks और elicitation, subagent models, session resume, OpenTelemetry events तथा Windows और Linux के व्यवहार से जुड़े हैं।