CVE-2026-47751
Açıklama
Claude Code Action, GitHub pull request'leri ve issue'ları üzerinde Claude Code çalıştıran genel amaçlı bir GitHub action'dır. 1.0.74 sürümünden önce; action'ın saldırgan tarafından kontrol edilen pull request head dallarını checkout etmesi, varsayılan ayar kaynakları aracılığıyla çalışma dizininden .mcp.json dosyasını okuması ve enableAllProjectMcpServers üzerinden tüm proje MCP sunucularını koşulsuz olarak etkinleştirmesi nedeniyle, kötü niyetli bir .mcp.json dosyası içeren bir pull request açan bir saldırgan, yetkili bir kullanıcı veya otomatik bir tetikleyici ilgili pull request üzerinde Claude action'ı çalıştırdığında, GitHub Actions runner üzerinde keyfi kod çalıştırma gerçekleştirebilir ve iş akışına erişimi olan gizli bilgileri (API anahtarları ve token'lar gibi) sızdırabilir. Bu sorun, CLI çalışmadan önce .claude/ ve .mcp.json dosyalarını pull request base dalından geri yükleyen 1.0.74 sürümü ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| anthropics claude-code-action | < 1.0.74 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.