A Postman 12.33.4 automatikus plugin-telepítése a Claude Code és az OpenAI Codex agentekbe

A The New Stack cikke szerint az asztali alkalmazás indítása során történt meg a változtatás, amelyet a GitHub-jelentésben szereplő naplóbejegyzések is alátámasztanak.

Logok és konfigurációs módosítások

A GitHub-jelentésben szereplő naplóbejegyzések október 24-én egy „auto-existing-upgrade” eseményt rögzítettek, amelynek eredményeként mindkét agent konfigurációs fájljában megjelent egy engedélyezett Postman plugin, egy új plugin-piac és egy megbízható indítási horog. A Codex felhasználói szintű konfigurációs fájlja, a ~/.codex/config.toml, szintén módosult, ugyanúgy a Claude Code beállításai is tartalmazták a Postman plugint.

Önműködő indítási horog

A Postman saját dokumentációja szerint az installer képes automatikusan jóváhagyni egy session-start horogot a felhasználó nevében. A forráskódban látható, hogy ha a horog még nem szerepel a Codex megbízható listáján, a telepítő config/batchWrite segítségével hozzáadja a horog hash-ét, majd naplózza, ha a jóváhagyás sikertelen.

Fejlesztői közösség reakciója

Biztonsági kutató, Frank Denis az X-en „junk” megjegyzést tette közzé a viselkedésre, míg Siddharth Garimella azt állította, hogy a Postman horogok képesek lehetnek az API-adatok elfogására és visszaküldésére a cégnek – bár a jelentés nem mutat be adatlopást, csak beállítási módosításokat és egy távoli MCP-kapcsolatot a https://mcp.postman.com/mcp címen.

Postman válasza és a fejlesztő követelései

A fejlesztő, „indicava” a GitHub-hibajegyen azt kérte, hogy a Postman hagyja abba a pluginek automatikus telepítését, és a horog jóváhagyását a Codexre bízza. A Postman hivatalos dokumentációja egy eltávolító parancsot kínál, de a bejelentő szerint ez nem állítja vissza a módosított beállításokat.

Az incidens kiterjedése

A jelentés egyetlen macOS-es telepítést dokumentál, és a viselkedés más felhasználókra való kiterjedését a forrás nem erősíti meg.

Háttér: mit tud a Claude díjmentes verziója