Claude Code 2.1.325 khắc phục lỗ hổng bảo mật trong giải mã zstd và mặc định yêu cầu cấp quyền cho các lệnh Bash chạy trong sandbox

Claude Code v2.1.325, phát hành ngày 13 tháng 11 năm 2026 theo ghi chú phát hành, bao gồm bản sửa lỗi bảo mật trong cách giải mã phản hồi nén bằng zstd, siết chặt hành vi cấp quyền và sandbox, cùng một danh sách dài các bản sửa lỗi.

Các thay đổi có thể ảnh hưởng đến thiết lập hiện có:

• Theo mặc định, các lệnh Bash chạy trong sandbox giờ tuân theo quy trình cấp quyền thông thường. Đặt sandbox.autoAllowBashIfSandboxed: true để tiếp tục chạy chúng mà không cần xác nhận; với các thiết lập được quản lý bật sandbox, hãy đặt tùy chọn này trong nguồn được quản lý có thứ hạng cao nhất.
• Các lệnh git chỉ đọc sẽ hỏi trước trong kho lưu trữ không thuộc dự án hoặc không đáng tin cậy; thêm kho đó bằng --add-dir (không phải thiết lập additionalDirectories) sẽ tránh được lời nhắc.
• Tác vụ đã lên lịch và /loop sẽ hỏi trước khi chạy skill khai báo allowed-tools hoặc hook; thêm Skill(name) vào permissions.allow để chạy mà không cần giám sát.
• Tùy chọn “Always allow” trong các máy chủ Desktop, IDE và SDK chỉ đưa ra quy tắc riêng khi lưu quy tắc đó sẽ cho phép chạy lại lệnh ấy; vì vậy, tác vụ đã lên lịch dựa vào quy tắc này giờ có thể phải chờ người dùng nhập liệu.
• Sandbox từ chối ghi vào các tệp cài đặt, skill, agent, lệnh và hook trong .claude thuộc thư mục được thêm vào, giống như cách sandbox đã làm trong thư mục khởi chạy.
• Một phiên worktree hoặc agent biệt lập sẽ bị từ chối chạy git bisect run, git maintenance register|start và các lệnh thiết lập của scalar.
• Các gói MCP của plugin (.mcpb, .dxt) được giải nén trong thư mục plugins; pluginDigests đã lỗi thời và bị bỏ qua; các thư mục .claude/skills trong plugin --plugin-dir không còn được tải từ phiên khởi chạy ở thư mục cấp trên.
• ref của Marketplace chấp nhận ID đầy đủ của mọi commit; các ứng dụng khách phiên bản cũ hơn phiên bản này không thể clone một mã ghim như vậy. Tải xuống plugin dùng đường hầm CONNECT khi ALL_PROXY là proxy duy nhất được thiết lập, và sẽ thất bại nếu proxy từ chối CONNECT.
• claude remote-control thoát với mã trạng thái 4 khi tự dừng và 69 khi không thể đăng ký.
• CLAUDE_CODE_MAX_CONTEXT_TOKENS cũng đặt cửa sổ ngữ cảnh cho các ID model claude- không được nhận diện, chẳng hạn bí danh của một cổng kết nối.

Các bản sửa lỗi về quyền và sandbox xử lý những trường hợp lệnh Bash ghép có thể chạy mà không hỏi trước, quy tắc cho phép Bash có thể chạy chương trình khác với chương trình được nêu tên, một số quy tắc từ chối và yêu cầu xác nhận không được áp dụng, các quy tắc từ chối dùng đường dẫn tương đối như Read(./.env) ngừng áp dụng cho dự án sau khi chạy cd, và sandbox Bash không bảo vệ đầy đủ các tệp cài đặt, hook và thư mục git dùng chung của worktree. Một số bản sửa lỗi liên quan đến việc xuất bản Artifact lên các trang mà người bên ngoài tổ chức có thể xem.

Các bổ sung khác: trong VS Code có gợi ý prompt (nhấn Tab để chấp nhận) và chức năng đăng nhập Console không tạo API key; mẹo dạng vòng quay về chạy lại một ô notebook; gợi ý bên dưới lỗi bị chặn theo chính sách, hướng dẫn chạy /rewind hoặc /clear. Các nội dung còn lại là bản sửa lỗi về đăng nhập, tác vụ và elicitation của MCP, model của subagent, tiếp tục phiên, sự kiện OpenTelemetry, cũng như hành vi trên Windows và Linux.