- Yama var
- Son 7 gün
- CWE-269
CVE-2026-114069
'de envvars API uç noktası üzerinden kök gizli anahtar ifşası
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
'in 4.6.0 öncesi sürümlerinde, GET /api/v1/projects/:projectRef/envvars uç noktasında yetki kontrolü hatası (improper authorization) bulunmaktadır. Bu uç nokta, staging, production ve preview ortamları için ortamın kök API anahtarını TRIGGER_SECRET_KEY olarak döndürmektedir. Yalnızca read:envvars anahtarına sahip saldırganlar kök gizli anahtarı ve düz metin olarak saklanan gizli bilgileri elde edebilir; ardından görevleri tetikleyebilir ve yönetici yetkisine sahip public JWT'ler üretebilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.6.0 contains an improper authorization vulnerability in the GET /api/v1/projects/:projectRef/envvars endpoint, which returns the environment's root API key as TRIGGER_SECRET_KEY for staging, production, and preview environments. Attackers holding a restricted read:envvars key can obtain the root secret and plaintext secrets, then trigger tasks and mint admin public JWTs.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.6.0 | 4.6.0 |
| 4.6.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.