CVE-2026-114076

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões anteriores a 4.5.2

Description Inquilinos autenticados podem explorar uma falsificação de solicitação do lado do servidor (SSRF) cega ao configurar uma URL de canal de alerta de webhook não validada. O servidor do webapp não valida a variável url em relação a uma lista de permissões de hosts ou lista de bloqueio de IPs privados, permitindo que o servidor envie solicitações POST para hosts internos, endereços de metadados de nuvem ou acesse o IMDSv1 via redirecionamentos. Isso ocorre quando o alertsWorker usa o DeliverAlertService para enviar payloads de alerta assinados com HMAC via função fetch(). O problema está enraizado no arquivo ApiAlertChannelPresenter.server.ts, onde a URL é aceita sem validação de sintaxe ou de host, e é posteriormente processada em deliverAlert.server.ts e deliverErrorGroupAlert.server.ts.

Recommendations Atualize o Trigger.dev para a versão 4.5.2 ou posterior. Como medida paliativa temporária, restrinja o uso do recurso de canal de alerta de webhook até que a atualização seja aplicada.