CVE-2026-114086

اسم البرنامج المتأثر والإصدارات المتأثرة Trigger.dev الإصدارات السابقة لـ 4.5.5

الوصف يؤدي فقدان المصادقة في معالج POST الخاص بتدفقات البيانات في الوقت الفعلي (realtime streams) إلى السماح للمهاجمين غير المصرح لهم بحقن بيانات عشوائية في تدفقات التشغيل عبر أي بيئة، بما في ذلك بيئة الإنتاج. يحدث هذا لأن معالج action في الملف apps/webapp/app/routes/realtime.v1.streams.$runId.$streamId.ts يفتقر إلى غلاف مصادقة. علاوة على ذلك، يقوم النظام بالبحث عن عمليات التشغيل باستخدام المتغير friendlyId دون التحقق من runtimeEnvironmentId ، وتتبع هذه المعرفات أنماطًا يمكن التنبؤ بها. نقطة نهاية API المتأثرة هي '/realtime/v1/streams/:runId/:streamId'.

التوصيات التحديث إلى الإصدار 4.5.5 أو إصدار أحدث.