- Yama var
- Son 7 gün
- CWE-639
CVE-2026-114091
'de API replay rotasında çapraz kiracı çalıştırma yükü ifşası
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.5.0 öncesi sürümlerde, api.v1.runs.$runParam.replay rotası çalıştırmaları yalnızca friendlyId ile arar ve aramayı çağıranın çalışma zamanı ortamıyla sınırlandırmaz. Herhangi bir kiracının API anahtarına sahip ve bir kurbanın çalıştırma friendlyId değerini bilen bir saldırgan, bu çalıştırmayı kendi ortamına yeniden oynatabilir ve kurbanın görev yükünü (payload) okuyabilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.5.0 looks up runs by friendlyId alone in the api.v1.runs.$runParam.replay route without scoping the lookup to the caller's runtime environment. An attacker holding any tenant's API key who knows a victim's run friendlyId can replay that run into their own environment and read the victim's task payload.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.0 | 4.5.0 |
| 4.5.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.