- Yama var
- Son 7 gün
- CWE-653
CVE-2026-114087
'de sabit kodlu varsayılan gizli anahtarlar nedeniyle kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.5.6 öncesi , hosting/docker/.env.example dosyasındaki varsayılan gizli anahtarları kullanan kendi sunucularında (self-hosted) Docker Compose dağıtımlarında kimlik doğrulama atlatmasına izin veriyor. Bunun nedeni, sabit kodlu MAGIC_LINK_SECRET değerinin herkesin geçerli sihirli bağlantı (magic link) belirteçlerini sahteleyebilmesidir. Kimlik doğrulaması yapılmamış saldırganlar, herhangi bir e-posta adresi olarak oturum açabilir; ardından altyapı ağlarındaki runner konteynerlerinden varsayılan kimlik bilgileriyle Postgres, Redis ve ClickHouse'a erişerek tüm kiracı verilerini ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.5.6 self-hosted Docker Compose deployments using the default secrets from hosting/docker/.env.example allow authentication bypass because the hardcoded MAGIC_LINK_SECRET lets anyone forge valid magic link tokens. Unauthenticated attackers can log in as any email address, then reach Postgres, Redis, and ClickHouse with default credentials from runner containers on infrastructure networks, compromising all tenant data.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.6 | 4.5.6 |
| 4.5.6 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.