- Yama var
- Son 7 gün
- CWE-863
CVE-2026-114067
'de snapshot-url oturum rotasında yetkilendirme hatası
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.5.0 sürümünden 4.6.2 öncesine kadar olan sürümlerde, PUT snapshot-url oturum uç noktasında uygun olmayan yetkilendirme açığı bulunmaktadır. Bu açık, herkese açık oturum belirteci sahiplerinin presigned S3 yazma URL'leri elde etmesine olanak tanır. Son kullanıcılar, bu yolun yalnızca gizli anahtarla erişim kontrolü yapmaması nedeniyle kendi oturumlarının kalıcı sohbet anlık görüntüsünün üzerine yazabilir ve böylece temsilcinin konuşma geçmişini sahteleyebilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev 4.5.0 before 4.6.2 contains an improper authorization vulnerability in the PUT snapshot-url session endpoint that allows public session token holders to obtain presigned S3 write URLs. End users can overwrite their own session's durable chat snapshot to forge the agent's conversation history, since the route lacks a secret-key-only check.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | ≥ 4.5.0, < 4.6.2 | 4.6.2 |
| 4.6.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.