Claude Code, onaylanan komutları yerel ayar dosyasına yazıyor ve bu dosyalar GitHub'a sızıyor

Apiiro araştırmacıları, herkese açık GitHub depolarında veritabanı parolaları, API anahtarları ve root girişleri içeren binlerce gizli bilgi buldu.

Güvenlik araştırmacıları Apiiro, Claude Code'un herkese açık GitHub depolarında hassas verileri açığa çıkardığını bildirdi. Araştırmacılar, depolara işlenmiş ayar dosyalarının içinde veritabanı parolaları, API anahtarları ve root girişleri gibi binlerce gizli bilgi buldu.

Sorunun kökünde şu var: Kullanıcı bir kabuk komutunu onaylayıp bir daha sorulmasın seçeneğini seçtiğinde, komut yerel bir ayar dosyasına kaydediliyor. Komut çoğu zaman tam haliyle yazılıyor ve içinde geçen kimlik bilgileri de dosyanın içinde kalıyor. Dosya tek bir makinede özel olarak durur ve Anthropic'in belgelerine göre geliştiricinin genel .gitignore listesine eklenerek paylaşılması önlenir. Sorun, bu koruma başarısız olup dosya yine de herkese açık bir depoya gönderildiğinde ortaya çıkıyor.