PT-2026-120218
CVE-2026-114092
·
تاريخ النشر
2026-10-02
·
تاريخ التحديث
2026-10-21
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Trigger.dev الإصدارات السابقة لـ 4.5.0
Description
توجد مشكلة حيث لا يقوم معالج الإجراء في مسار إعادة تشغيل تنفيذ لوحة التحكم بإجراء فحوصات المصادقة أو التحقق من المؤسسة. يقوم النظام باسترداد عمليات تشغيل المهام باستخدام متغير
friendlyId فقط، مما يسمح لمهاجم عن بُعد يعرف هذا المعرف بإعادة تشغيل المهمة في بيئة من اختياره. يمكن أن يؤدي ذلك إلى كشف حمولة مهمة الضحية أو تشغيل المهمة مرة أخرى باستخدام أسرار ومفاتيح واجهة برمجة التطبيقات الخاصة بالضحية. بالإضافة إلى ذلك، تؤثر مشكلة مماثلة على نقطة نهاية إكمال الدفعة، والتي تسمح لأي مستخدم مصادق عليه بتحفيز الإكمال لأي معرف دفعة. نقاط النهاية المتأثرة هي '/resources/taskruns/$runParam/replay' و '/resources/batches/$batchId/check-completion'.Recommendations
تحديث Trigger.dev إلى الإصدار 4.5.0 أو إصدار أحدث.
كإجراء مؤقت، قم بتقييد الوصول إلى نقاط النهاية '/resources/taskruns/$runParam/replay' و '/resources/batches/$batchId/check-completion'.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾