- Yama var
- Son 7 gün
- CWE-639
CVE-2026-114077
'de Çapraz Kiracı Dağıtım Ele Geçirme Yetki Atlatma Açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
sürümlerinden 4.5.6 öncesinde, createDeploymentBackgroundWorkerV4 içinde bir yetki atlatma açığı bulunmaktadır. Bu bileşen, WorkerDeployment kaydını yalnızca friendlyId değerine göre çözümlemekte, ortam, proje veya kuruluş kapsamı kontrolü yapmamaktadır. Yalnızca kendi ortamına ait API anahtarına sahip saldırganlar, deployment background-workers uç noktasına kurbanın dağıtım kimliğiyle POST isteği göndererek devam eden bu dağıtımı, saldırganın ortamındaki bir worker'a yönlendirebilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.5.6 contains an authorization bypass vulnerability in createDeploymentBackgroundWorkerV4 that resolves a WorkerDeployment by friendlyId alone, without environment, project, or organization scoping. Attackers holding only their own environment API key can POST to the deployment background-workers endpoint with a victim's deployment ID to re-point that in-progress deployment at a worker in the attacker's environment.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.6 | 4.5.6 |
| 4.5.6 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.