- Yama var
- Son 7 gün
- CWE-522
CVE-2026-114070
Dashboard Agent'ta oturum kayıtları üzerinden kullanıcı token'ı ifşası
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.5.0 sürümünden 4.6.0 öncesine kadar olan sürümlerde, Dashboard Agent girdi proxy'sinde bir bilgi ifşası güvenlik açığı bulunmaktadır. Bu proxy, devredilmiş bir kullanıcı-aktör token'ını tarayıcı tarafından okunabilir oturum girdi kayıtlarında saklamaktadır. Bir sohbetin herkese açık oturum token'ını ele geçiren saldırganlar, girdi kayıtları uç noktasını okuyarak token'ı payload.metadata.userActorToken alanından elde edebilir ve bu token'ı ortam JWT değişimi için yeniden kullanabilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev 4.5.0 before 4.6.0 contains an information disclosure vulnerability in the Dashboard Agent input proxy that stores a delegated user-actor token in browser-readable session input records. Attackers holding a chat's public session token can read the in records endpoint to recover the token from payload.metadata.userActorToken and replay it for environment JWT exchange.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | ≥ 4.5.0, < 4.6.0 | 4.6.0 |
| 4.6.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.