Kullanıcılar, Postman’ın masaüstü uygulamasının Codex ve Claude Code eklentilerini sessizce yüklediğini bildiriyor; Postman bunu doğrulamadı

25 Ekim’de Postman’ın destek takip sisteminde açılan bir GitHub sorunu, kullanıcı Mac’te uygulamayı açtıktan sonra Postman masaüstü 12.33.4’ün kendi başına Codex ve Claude Code’a eklentiler yüklediğini söylüyor. Bildirimi yapan kişinin kanıtı, Postman’ın kendi günlüğü; günlükte 24 Ekim’de “claude-code:installed” ve “codex:installed” kayıtlarını içeren bir “auto-existing-upgrade” çalışması yer alıyor. Sorun, 3 Kasım’da Hacker News’te geniş çapta paylaşıldı.

Bildirimi yapan kişiye göre yükleme şunları yaptı:

• Codex’in genel yapılandırmasına bir Postman eklentisi ve pazar yeri ekledi; ayrıca aracıya, önemsiz olmayan herhangi bir API mühendisliği görevinden önce bir Postman becerisini yüklemesini söyleyen bir oturum başlangıç kancası ekledi;
• Claude Code’da bir Postman eklentisini etkinleştirdi ve ~/.local/bin dizinine bir Postman CLI’sı yerleştirdi;
• “Auth required” hatası veren uzak bir MCP sunucusuna bağlandı.

Bildirimi yapan kişi, yükleyicinin kaynak kodunun Postman’ın kendi Codex kancasını güvenilir olarak işaretlemeye de çalıştığını, ancak güven kaydının tek başına bunu kimin oluşturduğunu göstermediğini söylüyor. Raporda verilerin dışarı sızdırıldığının iddia edilmediği ve sorunun henüz temiz bir Mac’te yeniden üretilemediği belirtiliyor. Postman’dan mevcut kullanıcılar için otomatik yüklemeyi durdurmasını, kancaların kendi kendini onaylamasını kaldırmasını ve tümüyle kaldırma talimatları yayımlamasını istiyor.

Sorun 3 Kasım’da hâlâ açıktı. Konudaki en az bir kullanıcı, Postman 12.35.1’e güncelledikten sonra aynı eklentilerin makinesine yüklendiğini söylüyor; ayrıntılar bildirimi yapan kişilerin kendi aktardıklarıdır.

Aynı gün, Postman adına yazılan bir yanıtta, birçok kullanıcı bunları ayrı kurmakta zorlandığı için Postman’ın CLI’ı ve aracı eklentilerini masaüstü uygulamasıyla birlikte sunduğu; bunun indirme sayfasında ve güncelleme akışında belirtildiği ve bileşenlerin uygulama içinden kaldırılabildiği söylendi. Yanıtta Postman’ın, özellikle mevcut kullanıcılar için açık rıza seçeneğini daha belirgin hâle getireceği ve kancaların onaylanma sürecini ve oturum başlangıcı davranışını gözden geçirdiği, gelişmelerin konu başlığında paylaşılacağı belirtildi.