Postman, Claude Code, extension Cursor : les outils de développeurs installent et transmettent plus que prévu
Postman a installé sans opt-in clair ses plugins dans Codex et Claude Code après une mise à jour de son application desktop, vers le 24 octobre, avec un hook de démarrage et une connexion MCP. L'éditeur annonce le 5 novembre qu'il annule ce changement.
Côté Anthropic, un ticket GitHub montre Claude Code glissant l'adresse e-mail de l'utilisateur dans le User-Agent de requêtes curl vers des sites tiers. Un module de confidentialité, actif par défaut depuis la version 2.1.317, doit bloquer ce comportement, mais le rapporteur affirme le constater en 2.1.318.
Le 30 octobre, une version piégée de l'extension Claude pour VS Code est restée en ligne près de douze heures sur la place de marché de Cursor, avec cinq mille utilisateurs au plus touchés. Les équipes doivent donc vérifier ce que leurs outils installent, transmettent et mettent à jour.
Sources
Chaque onglet présente la publication d’origine et son lien direct.
Anthropic VS code extension on Cursor backdoored for nearly 12 hours
L'article rapporte qu'une extension officielle de Claude pour VS Code a été compromise sur la place de marché de Cursor. La version 2.1.313 a touché au plus 5 000 utilisateurs avant la publication de la 2.1.314.
Claude Code sends your email address to websites
Le ticket décrit une adresse e-mail transmise dans le User-Agent de requêtes curl pendant des recherches web. Un contributeur répond qu'un module de confidentialité, actif par défaut depuis la version 2.1.317, bloque ce comportement.
Postman Desktop Silently Installs Plugins Into Codex, Claude Code
L'alerte résume le ticket sur Postman 12.33.4 : plugins Codex et Claude Code installés après mise à jour, hook de démarrage, connexion à un serveur MCP distant et CLI ajouté dans le dossier local de l'utilisateur.