Claude Code'un "Bir Daha Sorma" dosyası GitHub'da 1.122 açık kopyada parola ve anahtar sızdırdı

Apiiro'nun taraması, onaylanan komutları parolalarıyla birlikte saklayan .claude/settings.local.json dosyasının herkese açık depolarda binlerce kez bulunduğunu ve bunların 1.122 tanesinde en az bir gizli bilgi barındırdığını ortaya koydu.

Güvenlik firması Apiiro, Claude Code'un bir kullanıcı artık sorulmasını istemediğinde onaylanan kabuk komutlarını tam haliyle, yazılmış parola ve API anahtarları dahil, proje içindeki .claude/settings.local.json dosyasına kaydedebildiğini bildirdi.

Şirketin herkese açık GitHub üzerinde yaptığı aramada bu dosyanın 103.617 depoda toplam 104.185 kopyası bulundu. Bunların 1.122 tanesinde en az bir gizli bilgi vardı ve bu bilgiler toplamda 1.379 ayrı değere denk geliyordu. Araştırmacılar bu kimlik bilgilerinin hâlâ çalışıp çalışmadığını test etmedi; ancak bildirilen şirketlerden biri anahtarının aktif olduğunu doğruladı.

Dosyayı silmek sızıntıyı ortadan kaldırmıyor. Eski commit'ler ve çatallar veriyi tutmaya devam ediyor. Eski sürümlerde, mevcut kopyaların hiçbirinde bulunmayan 509 depoda 734 gizli bilgi daha tespit edildi. Bu nedenle önerilen sıra, önce dosyanın bugüne kadar tuttuğu tüm kimlik bilgilerini yenilemek, ardından temizlik yapmak ve tek tek komutlar yerine komut kalıplarını onaylamak.