CVE-2026-42047

Inngest; kuyruklama, yeniden denemeler ve adım orkestrasyonu ile olay güdümlü ve zamanlanmış arka plan fonksiyonlarını çalıştırmak için kullanılan bir platformdur. 3.22.0 ile 3.53.1 arasındaki sürümler, kimliği doğrulanmamış uzaktaki saldırganların serve() HTTP işleyicisi aracılığıyla ana işlemden ortam değişkenlerini sızdırmasına izin veren bir güvenlik açığı içermektedir. serve() işleyicisi GET, POST ve PUT yöntemlerini uygular. PATCH, OPTIONS veya DELETE kullanan istekler, tanısal bilgiler döndüren genel bir işleyiciye aktarılır. v3.22.0 sürümünde yapılan bir değişiklik, bu tanısal yanıtın process.env içeriğini dahil etmesine neden olarak ortamda bulunan tüm gizli bilgilerin, API anahtarlarının veya kimlik bilgilerinin açığa çıkmasına yol açmıştır. Bir uygulama, serve() uç noktası PATCH, OPTIONS veya DELETE istekleri üzerinden erişilebilir durumdaysa savunmasızdır; bu durum Next.js Pages Router veya Express'in app.use(...) yapılandırmalarında yaygındır. Yalnızca GET, POST ve PUT dışa aktaran Next.js App Router işleyicileri ve connect worker yöntemini kullanan uygulamalar etkilenmemektedir. Bu sorun 3.54.0 sürümünde düzeltilmiştir. Güncelleme yapmanın hemen mümkün olmadığı durumlarda, geçici çözüm olarak serve() uç noktasını çerçeve (framework) veya ters proxy katmanında yalnızca GET, POST ve PUT yöntemlerini kabul edecek şekilde kısıtlayın. Inngest serve() uç noktası başka herhangi bir HTTP yöntemine ihtiyaç duymaz.