CVE-2026-114086

Orta

Təsvir

Trigger.dev-in 4.5.5 versiyasından əvvəlki versiyalarında realtime streams POST handler-də autentifikasiyanın olmaması zəifliyi mövcuddur ki, bu da autentifikasiya olunmamış hücumçulara iş axını stream-lərinə məlumat yerləşdirməyə imkan verir. Hücumçular istənilən mühitin (production daxil olmaqla) realtime stream-inə ixtiyari məlumat yerləşdirmək üçün təxmin edilə bilən run friendlyId ilə /realtime/v1/streams/:runId/:streamId ünvanına POST sorğuları göndərə bilərlər.

CiddilikOrta

CVSS5.3

İstismar ehtimalı—

MəhsulTrigger.dev

Dərc21 okt 2026

İlk görülmə21 okt 2026

Zəiflik növüCWE-306Kritik funksiyada autentifikasiya çatışmazlığı

Necə düzəltmək olar

Yeniləyin

trigger.dev4.5.5 və ya daha yeni versiya

İstehsalçı bildirişləri

github.com/triggerdotdev/trigger.dev/security/advisories/GHSA-59h8-w5q6-mfmp

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
trigger.devnpm	v < 4.5.5	4.5.5

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.