Contexte de la fuite
Un fichier nommé “Don't Ask Again”, intégré dans le projet Claude Code, a été repéré dans 1 122 dépôts publics hébergés sur GitHub. Les dépôts contiennent des informations d’identification en texte clair, dont des mots de passe et des clés d’API, exposées sans aucune protection.
Analyse du fichier « Don't Ask Again »
Le nom du fichier suggère une fonction de désactivation d’une invite de sécurité, typiquement utilisée par des développeurs pour éviter des demandes répétées lors de tests. Le contenu, tel que décrit, regroupe des chaînes de caractères correspondant à des identifiants et des secrets. Stocker ces valeurs dans le code source rend les secrets accessibles à tout acteur capable de cloner le dépôt, contournant ainsi les mécanismes de gestion de secrets habituels (vault, variables d’environnement, etc.).
Impact et portée
La présence de 1 122 copies publiques indique une diffusion large, potentiellement à travers plusieurs organisations et projets open‑source. Chaque jeu de credentials exposé peut permettre un accès non autorisé à des services externes, à des bases de données ou à des environnements cloud. La réutilisation de mots de passe ou de clés entre projets augmente le risque de compromission en chaîne.
Mesures de mitigation
Les mainteneurs doivent immédiatement supprimer le fichier de tous les dépôts, révoquer les secrets divulgués et générer de nouveaux identifiants. L’activation de la fonction de détection de secrets de GitHub, combinée à des outils de scanning automatisés, permet de prévenir la réapparition de tels fichiers. Enfin, les équipes de développement sont encouragées à externaliser les secrets hors du code source et à appliquer des politiques de revue de code strictes.
