- Yama var
- Son 7 gün
- CWE-306
CVE-2026-114092
'de Pano Çalıştırma Tekrar Oynatma İşleminde Kimlik Doğrulama Eksikliği
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
4.5.0 öncesi sürümler, panodaki çalıştırma tekrar oynatma rotasının (resources.taskruns.$runParam.replay) action işleyicisinde kimlik doğrulama ya da kuruluş kontrolü yapmaz ve çalıştırmayı yalnızca friendlyId değerine göre arar. Uzak bir saldırgan, bir kurbanın çalıştırma friendlyId değerini biliyorsa, çalıştırmayı kendi seçtiği bir ortamda yeniden oynatabilir; bu da kurbanın görev yükünün (task payload) açığa çıkmasına veya görevin kurbanın gizli bilgileriyle yeniden çalıştırılmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Trigger.dev before 4.5.0 performs no authentication or organization check in the action handler of the dashboard run replay route (resources.taskruns.$runParam.replay) and looks up the run by friendlyId alone. A remote attacker who knows a victim's run friendlyId can replay it into an environment of their choosing, exposing the victim's task payload or running the task again with the victim's secrets.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| triggerdotdev trigger.dev | < 4.5.0 | 4.5.0 |
| 4.5.0 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.