- Yama var
- Son 7 gün
- CWE-22
CVE-2026-114083
'de Packets presigned URL uçlarında yol geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
, 4.5.0-rc.3 sürümünden önceki sürümlerde api/v1/packets ve api/v2/packets uç noktalarında yol geçişi (path traversal) açığı içermektedir. Bu açık, filename splat segmentinin temizlenmemesi nedeniyle kimliği doğrulanmış kiracıların nesne anahtarı önekinden çıkmasına olanak tanımaktadır. Geçerli bir API anahtarına sahip saldırganlar ../ dizilerini kullanarak GET veya PUT presigned URL'leri elde edebilir ve diğer kiracıların run payload ve çıktılarını okuyabilir veya üzerine yazabilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.5.0-rc.3 contains a path traversal vulnerability in the api/v1/packets and api/v2/packets endpoints that allows authenticated tenants to escape their object key prefix through an unsanitized filename splat segment. Attackers holding one valid API key can supply ../ sequences to obtain presigned GET or PUT URLs and read or overwrite other tenants' run payloads and outputs.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.0-rc.3 | 4.5.0-rc.3 |
| 4.5.0-rc.3 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.