Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Claude Code zapisuje hasła w pliku ustawień: 1122 publiczne kopie z sekretami na GitHubie

Apiiro znalazło na GitHubie 1122 publiczne kopie pliku .claude/settings.local.json z hasłami i kluczami API. Badacze zalecają najpierw wymienić wszystkie sekrety, a potem posprzątać repozytorium.

Karta wpisu: Claude Code zapisuje hasła w pliku ustawień: 1122 publiczne kopie z sekretami na GitHubie

Plik .claude/settings.local.json z Claude Code zapisuje zatwierdzone polecenia razem z wpisanymi w nie hasłami i kluczami API. Firma Apiiro znalazła na GitHubie 1122 publiczne kopie tego pliku z co najmniej jednym sekretem. Badacze nie sprawdzali, czy te klucze nadal działają, ale jedna z powiadomionych firm potwierdziła, że jej klucz był aktywny. Usunięcie pliku nie cofa wycieku, bo starsze wersje zostają w historii git i w forkach repozytorium.

Kogo dotyczy

Sprawa dotyczy użytkowników Claude Code, którzy przy poleceniu wybrali opcję „Yes, and don't ask again”. Gdy reguła obejmuje dokładne polecenie, hasło lub token zapisuje się otwartym tekstem. Badacze odtworzyli to na modelach Opus 5.5 i Fable 5.1. Claude Code dopisuje plik do globalnych wykluczeń git na jednym komputerze, ale nie dodaje go do .gitignore projektu.

Co zrobić

Badacze zalecają najpierw zmienić każde hasło, token i klucz, który kiedykolwiek trafił do tego pliku, a dopiero potem posprzątać repozytorium.

TAB. 2

Źródła

1
The Hacker News — Claude Code's “Don't Ask Again” File Exposes Passwords and Keys in 1,122 Public Copies on GitHubthehackernews.com
TAB. 3

Powiązane

3
07.11.2026PodatnościModel OpenAI GPT 6 Cyber potwierdził 1200 podatności LPE w jądrze Linux
07.11.2026PodatnościSonicWall łata obejście MFA w SSL-VPN, luka CVE-2026-19868 jest już wykorzystywana
06.11.2026PodatnościQNAP potwierdza włamania na serwery NAS przez luki Plex2Shell w Plex Media Server

Wszystkie wpisy →

Blog 24/7
07.11PSE utworzą CSIRT Energia, piąty sektorowy zespół reagowania na incydenty w Polscespidersweb.pl07.11120 mln zł na bezpieczną komunikację mobilną dla ponad 40 tys. podmiotów KSCcrn.pl07.11NBP: w 80,1 proc. oszustw płatniczych ofiara sama zleciła przelew lub dała danetelepolis.pl07.11Crédit Mutuel Arkéa: nieuprawnione przelewy na 118 mln euro po wejściu przez dostawcębleepingcomputer.com07.11CTM360: ponad 1000 incydentów z fałszywymi kartami podarunkowymi znanych marekbleepingcomputer.com07.11Ataki na podłączone do internetu chłodnie objęły trzy placówki krwi we Francjiwired.com07.11Claude Code zapisuje hasła w pliku ustawień: 1122 publiczne kopie z sekretami na GitHubiethehackernews.com07.11Backdoor cwpdoor w Control Web Panel wykonuje polecenia bez śladu w logachthehackernews.com07.11Japonia przeznacza 10 mld jenów na awaryjny pakiet cyberbezpieczeństwa po fali wyciekówsecurityweek.com07.11Otwarte modele AI niemal dorównują zamkniętym w atakach na sieci firmowewired.com