- Yama var
- Son 7 gün
- CWE-918
CVE-2026-114076
'de Alarm Kanalı Webhook URL'si Üzerinden Kör SSRF Açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
, 4.5.2 sürümünden önceki sürümlerde kör sunucu taraflı istek sahteciliği (SSRF) açığı içerir. Bu açık, kimliği doğrulanmış kiracıların, doğrulanmamış bir webhook alarm kanalı URL'si ayarlayarak webapp sunucusuna dahili hostlara POST istekleri göndertmesine olanak tanır. Saldırganlar webhook'u dahili servislere veya bulut meta veri adreslerine yönlendirebilir; alarmları tetikleyerek dahili hostları tarayabilir, durum değiştiren POST istekleri gönderebilir veya yönlendirmeler aracılığıyla IMDSv1'e erişebilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.5.2 contains a blind server-side request forgery vulnerability that allows authenticated tenants to make the webapp server send POST requests to internal hosts by setting an unvalidated webhook alert channel URL. Attackers can point the webhook at internal services or cloud metadata addresses and trigger alerts to scan internal hosts, send state-changing POSTs, or reach IMDSv1 via redirects.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.2 | 4.5.2 |
| 4.5.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.