ثغرة في كلود كود تسمح باختطاف المستودعات على غيت هاب

تم اكتشاف ثغرة أمنية في إجراء GitHub Claude Code تسمح لملف ضار داخل issue باختراق المستودعات بأكملها. يكشف الخلل عن بيانات حساسة ويسمح بتعديل الكود دون إذن. يمكن لأي مساهم لديه حق الوصول إلى المستودع استغلالها، مما يشكل خطرًا جسيمًا على المشاريع التي تستخدم أداة الذكاء الاصطناعي هذه.

التفاصيل الفنية للثغرة الأمنية في Claude Code 🔍

يكمن الخلل في كيفية معالجة Claude Code للملفات المرفقة في issues. عند تحميل ملف مصمم خصيصًا، يفسره الإجراء على أنه أوامر صالحة، وينفذ إجراءات مثل استنساخ المستودع، واستخراج رموز الوصول، وتحميل البيانات إلى خوادم خارجية. لا يتطلب الأمر صلاحيات مرتفعة؛ يكفي الحصول على صلاحيات الكتابة في issues. لقد أبلغ GitHub المطورين بالفعل، لكن التصحيح ليس فوريًا لجميع المشاريع المتأثرة.

الـ issue الذي أخذ عمله على محمل الجد أكثر من اللازم 😅

على ما يبدو، يخلط Claude Code بين ملف وخطة عمل جادة. مجرد issue مع مرفق ضار، ويصبح الذكاء الاصطناعي خادمًا مطيعًا لص البيانات. المفارقة هي أن الأداة المصممة للمساعدة في تطوير الكود تنتهي بتسليم مفاتيح المستودع. الآن، أصبح من الضروري مراجعة كل issue كما لو كانت رسالة مفخخة، ولكن بنسخة كود.