Gemini CLI ve Claude Code'de bulunan güvenlik açıkları, bir GitHub issue'nin CI workflow sırlarına ulaşmasına izin verdi. Bu açıklar, host komut execution ve API anahtarının ifşasına neden oldu.
Novee Security, bu açıkları Anthropic, Google ve OpenAI'nin kodlama ajanlarındaki yapılandırmalarında keşfetti. İki CVE yayınlandı ve bu açıklar düzeltildi.
Gemini CLI'de bulunan en ciddi açıklar, CVE-2026-12537 (CVSS 4 puanı: 10.0) idi. Bu, bir konteynır lansmanında işletim sistemi komut enjeksiyonuna izin verdi ve bir başsız CI platformunun ana makinesinde kod çalıştırılmasına neden oldu. Bu açıklar, Gemini CLI 0.39.1 ve run-gemini-cli 0.1.22'de düzeltildi.
Claude Code'de bulunan CVE-2026-54316 açığı, Hugging Face'in kamu indirme sayacının bir sızıntı kanalına dönüşmesine neden oldu ve bir API anahtarını karakter karakter ifşa etti. Bu açıklar, 2.1.163 sürümünde düzeltildi. Anthropic, bu açığın, güvenilmeyen içeriğin bir Claude Code bağlamına alınması gerektiğini belirtti.
Codex bulgusu, hiçbir ürün sürüm düzeltmesi veya CVE üretmedi. Novee, OpenAI'nin kumandasının belgelenen şekilde davrandığını belirtti. Gemini CLI'yi 0.39.1, run-gemini-cli'yi 0.1.22 ve Claude Code'u 2.1.163'e güncelleyin, ardından bir dış kullanıcı tarafından tetiklenebilecek herhangi bir iş akışını denetleyin.
