- Yama var
- Son 7 gün
- CWE-352
CVE-2026-114089
CLI yetkilendirme kodu akışında CSRF; PAT ele geçirmeye yol açıyor
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.5.2 öncesi sürümler, CLI yetkilendirme kodu akışında siteler arası istek sahteciliği (CSRF) açığı içerir. /account/authorization-code/<code> adresinin yüklenmesi, herhangi bir onay adımı olmadan bir Kişisel Erişim Belirteci (PAT) oluşturur. Saldırganlar kimliği doğrulanmamış bir kod üretip oturum açmış bir kullanıcıyı bu adrese yönlendirebilir, ardından kimliği doğrulanmamış /api/v1/token uç noktasından kurbanın PAT'ını alarak hesabı ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.5.2 contains a cross-site request forgery vulnerability in the CLI authorization-code flow because loading /account/authorization-code/<code> mints a Personal Access Token without any consent step. Attackers mint an unauthenticated code, lure a logged-in user to that URL, then retrieve the victim's PAT from the unauthenticated /api/v1/token endpoint to take over the account.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.2 | 4.5.2 |
| 4.5.2 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.