- Son 7 gün
- CWE-306
CVE-2026-114085
Supervisor İş Yükü API'sinde Kimlik Doğrulama Eksikliği
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.7.6 sürümüne kadar olan sürümlerde, supervisor iş yükü sunucusunda kimlik doğrulama eksikliği bulunmaktadır. Bu zafiyet, iş yüklerinin sahiplik doğrulaması yapılmadan diğer dağıtımlara ait çalışmaları (run) değiştirmesine olanak tanır. Ağa erişimi olan ve geçerli bir run/snapshot çiftine sahip saldırganlar, attempts/start uç noktasını çağırarak çözümlenmiş ortam değişkenlerini ve run JWT'lerini elde edebilir ya da diğer kiracıların çalışmalarını başlatabilir, tamamlayabilir ve askıya alabilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev through 4.7.6 contains a missing authentication vulnerability in the supervisor workload server that allows workloads to manipulate runs belonging to other deployments without ownership verification. Attackers with network access and a valid run/snapshot pair can call the attempts/start endpoint to obtain resolved environment variables and run JWTs, or start, complete, and suspend other tenants' runs.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | ≤ 4.7.6 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.