- Yama var
- Son 7 gün
- CWE-639
CVE-2026-114066
'de batch parentRunId bekleme noktalarında yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
sürümlerinde 4.7.0'dan önce yetkilendirme eksikliği bulunmaktadır. Bu durum, kısıtlanmamış ortam API anahtarlarına sahip kullanıcıların, toplu oluşturma uç noktalarına yabancı bir parentRunId değeri vererek sahip olmadıkları çalıştırmaları engellemesine olanak tanır. Saldırganlar, resumeParentOnCompletion parametresiyle POST /api/v3/batches veya POST /api/v2/tasks/batch uç noktalarına istek göndererek üretim ortamındaki veya kuruluşlar arası çalıştırmaları askıya alabilir, süresiz olarak engelleyebilir ya da bunlara hata enjekte edebilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.7.0 contains a missing authorization vulnerability that allows holders of unrestricted environment API keys to block runs they do not own by supplying a foreign parentRunId to batch-creation endpoints. Attackers can send requests to POST /api/v3/batches or POST /api/v2/tasks/batch with resumeParentOnCompletion to suspend, indefinitely block, or inject errors into production or cross-organization runs.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.7.0 | 4.7.0 |
| 4.7.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.