CVE-2026-114069

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões anteriores a 4.6.0

Descrição Existe um problema de autorização inadequada no endpoint GET '/api/v1/projects/:projectRef/envvars'. Esta falha permite que usuários com uma chave read:envvars restrita obtenham a chave API raiz, identificada como TRIGGER SECRET KEY, bem como segredos em texto simples para ambientes de staging, produção e preview. Um invasor com esse acesso pode disparar tarefas e emitir JWTs (JSON Web Tokens) públicos de administrador, que são meios compactos e seguros para URL de representar reivindicações a serem transferidas entre duas partes.

Recomendações Atualize para a versão 4.6.0 ou posterior. Restrinja o acesso ao endpoint '/api/v1/projects/:projectRef/envvars' para minimizar o risco de exploração.