- Yama var
- Son 7 gün
- CWE-918
CVE-2026-114080
'de Uyarı Kanalı Webhook URL'si Üzerinden Kör SSRF Açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.5.2 sürümünden önceki sürümlerde, doğrulanmamış uyarı kanalı webhook URL'leri ayarlanarak kimliği doğrulanmış proje üyelerinin sunucuya istek göndertmesine izin veren kör sunucu taraflı istek sahteciliği (SSRF) açığı bulunmaktadır. Saldırganlar, loopback, dahili veya bulut meta veri adreslerine işaret eden uyarı kanalları oluşturup ardından uyarıları tetikleyerek dahili servislerin erişilebilirliğini yoklayabilir ve imzalı POST istekleri gönderebilir. CVSS 3.1 vektörü: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.5.2 contains a blind server-side request forgery vulnerability that allows authenticated project members to make the server send requests by setting unvalidated alert-channel webhook URLs. Attackers can create alert channels pointing to loopback, internal, or cloud metadata addresses, then trigger alerts to probe internal service reachability and send signed POST requests.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.2 | 4.5.2 |
| 4.5.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.