- Yama var
- Son 7 gün
- CWE-352
CVE-2026-114072
'de Slack OAuth geri çağrısında CSRF açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
web uygulamasının 4.5.12 sürümünden önceki sürümleri, kuruluş düzeyindeki Slack OAuth akışında siteler arası istek sahteciliği (CSRF) açığı içermektedir. Bu akış, OAuth durum (state) değeri olarak kuruluş kimliğini kullanmakta ve bunu başlatan oturumla ilişkilendirmemektedir. Hedef kuruluşun kimliğini bilen saldırganlar, kimliği doğrulanmış bir üyeyi onaylanmamış bir /integrations/slack/callback bağlantısını açmaya yönlendirebilir; bu da kuruluşun operasyonel uyarılarını alabilecek, saldırganın kontrolündeki bir Slack çalışma alanının bağlanmasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
The Trigger.dev webapp before 4.5.12 contains a cross-site request forgery vulnerability in its organization-level Slack OAuth flow, which uses the organization ID as the OAuth state without binding it to the initiating session. Attackers who know a target organization ID can trick an authenticated member into opening an unredeemed /integrations/slack/callback URL, connecting an attacker-controlled Slack workspace that may receive the organization's operational alerts.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.12 | 4.5.12 |
| 4.5.12 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.