- Yama var
- Son 7 gün
- CWE-639
CVE-2026-114068
'de waitpoint token bekleme uç noktasında yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.6.0 öncesi sürümler, waitpoint token bekleme uç noktasında yetkilendirme eksikliği içermektedir. Bu zafiyet, kimliği doğrulanmış saldırganların diğer kuruluşlara ait çalıştırmaları (run) engellemesine olanak tanımaktadır. Herhangi bir gizli API anahtarına sahip saldırganlar, bir kurbanın run ID'sini kendi waitpoint'leriyle eşleştirebilir; bu da söz konusu çalıştırmanın, kurbanın tamamlayamayacağı bir waitpoint üzerinde süresiz olarak bloke olmasına neden olur. Saldırgan ayrıca bu çalıştırmaya devam verisi (resume data) enjekte edebilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.6.0 contains a missing authorization vulnerability in the waitpoint token wait endpoint that allows authenticated attackers to block runs belonging to other organizations. Attackers holding any secret API key can supply a victim run ID with their own waitpoint, causing that run to block indefinitely on a waitpoint the victim cannot complete, and can inject resume data into it.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.6.0 | 4.6.0 |
| 4.6.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.