Seguridad · Impacto altoFan score 64 · Nivel A5 fuentes

Contraseñas guardadas por Claude Code quedan expuestas en GitHub

Lo esencial · a partir de 5 fuentes

Apiiro identificó archivos de configuración de Claude Code con contraseñas, claves de API y tokens subidos por error a repositorios públicos de GitHub.
Las cifras varían según la fuente: Infobae habla de 1.122 archivos y MuySeguridad de 1.379 contraseñas, claves y tokens.
Según Xataka, la causa sería la opción "Sí, y no vuelvas a preguntar", que guardaba cada comando aprobado con sus credenciales.

Por qué importa

Cualquier credencial publicada en un repositorio público puede ser usada por terceros, incluso si después se borra del código actual; conviene revisar el historial de Git, rotar las credenciales expuestas y revisar la configuración de Claude Code.

A quién afecta

Desarrolladores que usan Claude Code
Equipos que suben código a repositorios públicos de GitHub

Qué hacer

Buscar en tus repositorios públicos archivos de configuración de Claude Code que contengan credenciales.
Rotar las contraseñas, claves de API y tokens que hayan quedado expuestos.
Evitar aprobar comandos con credenciales mediante la opción "Sí, y no vuelvas a preguntar" hasta que haya una corrección oficial.

Un estudio de la firma de seguridad Apiiro ha encontrado 1.379 contraseñas, claves de API y tokens privados al alcance de cualquiera en repositorios públicos de GitHub, guardados uno a uno por el propio Claude Code cada vez que un desarrollador aprobaba un comando marcando la…

Leer la nota completa en muyseguridad.net ↗