Claude Code 2.1.325 verhelpt een beveiligingsprobleem met zstd-decodering en laat gesandboxte Bash-opdrachten standaard om toestemming vragen

Claude Code v2.1.325, uitgebracht op 13 november 2026 volgens de release notes, bevat een beveiligingsfix voor de manier waarop zstd-gecomprimeerde antwoorden worden gedecodeerd, aangescherpt gedrag voor machtigingen en de sandbox, en een lange lijst met fixes.

Wijzigingen die bestaande configuraties kunnen beïnvloeden:

• Gesandboxte Bash-opdrachten volgen nu standaard de normale procedure voor machtigingen. Stel sandbox.autoAllowBashIfSandboxed: true in om ze zonder prompts te blijven uitvoeren; stel dit bij beheerde instellingen die de sandbox inschakelen in bij de bron met de hoogste prioriteit.
• Alleen-lezen git-opdrachten vragen eerst om toestemming in een repository die niet van het project is of niet vertrouwd wordt; door die repository op te geven met --add-dir (niet met de instelling additionalDirectories) voorkom je de prompt.
• Geplande taken en /loop vragen toestemming voordat ze een skill uitvoeren die allowed-tools of hooks opgeeft; voeg Skill(name) toe aan permissions.allow om die zonder toezicht uit te voeren.
• De optie ‘Always allow’ in Desktop-, IDE- en SDK-hosts biedt alleen een regel aan als het opslaan ervan die opdracht opnieuw zou toestaan. Een geplande taak die daarop vertrouwde, kan dus nu op invoer wachten.
• De sandbox weigert schrijfbewerkingen naar .claude-instellingen, skills, agents, opdrachten en hooks in toegevoegde mappen, net zoals dat al gebeurt in de startmap.
• Een geïsoleerde worktree-sessie of -agent mag git bisect run, git maintenance register|start en de installatieopdrachten van scalar niet uitvoeren.
• MCP-bundels voor plugins (.mcpb, .dxt) worden uitgepakt in de plugins-map; pluginDigests is verouderd en wordt genegeerd; .claude/skills-mappen in plugins met --plugin-dir worden niet langer geladen vanuit een sessie die erboven is gestart.
• ref op de marketplace accepteert de volledige ID van elke commit; clients van vóór deze versie kunnen zo'n vastgezette commit niet klonen. Plugindownloads gebruiken een CONNECT-tunnel wanneer ALL_PROXY de enige ingestelde proxy is. Een proxy die CONNECT weigert, zorgt nu dat de downloads mislukken.
• claude remote-control sluit af met status 4 wanneer het vanzelf stopt en met 69 wanneer registratie niet lukt.
• CLAUDE_CODE_MAX_CONTEXT_TOKENS stelt ook het contextvenster in voor niet-herkende model-ID's die met claude- beginnen, zoals een alias van een gateway.

Fixes voor machtigingen en de sandbox verhelpen situaties waarin een samengestelde Bash-opdracht zonder toestemming kon worden uitgevoerd, een Bash-allowregel een ander programma kon uitvoeren dan het genoemde, sommige deny- en ask-regels niet werden toegepast, relatieve deny-regels zoals Read(./.env) het project na een cd niet meer beschermden, en de Bash-sandbox de instellingen, hooks en gedeelde git-map van een worktree niet volledig beschermde. Verschillende fixes betreffen het publiceren van Artifacts naar pagina's die buiten een organisatie zichtbaar zijn.

Overige toevoegingen: in VS Code promptsuggesties (accepteren met Tab) en aanmelden bij Console zonder API-sleutel aan te maken; een tip bij de spinner over het opnieuw uitvoeren van een notebookcel; een hint onder door beleid geblokkeerde fouten om /rewind of /clear uit te voeren. De overige wijzigingen zijn fixes voor aanmelden en inloggen, MCP-taken en elicitation, subagentmodellen, sessieherstel, OpenTelemetry-events en gedrag op Windows en Linux.