- Yama var
- Son 7 gün
- CWE-918
CVE-2026-114074
'de Webhook SSRF korumasının 198.18.0.0/15 aralığı üzerinden atlatılması
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.5.10 öncesi sürümlerde, kimliği doğrulanmış proje üyelerinin webhook SSRF korumalarını atlatmasına olanak tanıyan sunucu taraflı istek sahteciliği (SSRF) zafiyeti bulunmaktadır. Saldırganlar, genel olmayan 198.18.0.0/15 karşılaştırmalı test (benchmarking) aralığını hedef alarak bu aralıktaki dahili olarak yönlendirilen servislere işaret eden uyarı kanalı webhook'ları yapılandırabilir; isUnsafeIPv4 fonksiyonu bu aralığı kapsam dışı bıraktığı için bu durum mümkün olmaktadır. Bu yolla saldırganlar, kör dahili keşif (blind internal probing) gerçekleştirebilir ve durum değiştiren sınırlı sayıda POST isteği gönderebilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.5.10 contains a server-side request forgery vulnerability that allows authenticated project members to bypass webhook SSRF protections by targeting the non-global 198.18.0.0/15 benchmarking range. Attackers can configure alert-channel webhooks pointing at internally routed services in this range, which isUnsafeIPv4 omits, to perform blind internal probing and limited state-changing POST requests.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.10 | 4.5.10 |
| 4.5.10 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.