PT-2026-120209

CVE-2026-114083

Publicado

2026-10-21

Atualizado

2026-10-21

Descrição por

CVSS 4.0

8.6

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões anteriores a 4.5.0-rc.3

Description Inquilinos autenticados podem escapar do prefixo de sua chave de objeto devido a um segmento splat de nome de arquivo não sanitizado. Ao fornecer sequências ../ para os endpoints 'api/v1/packets' e 'api/v2/packets', um invasor com uma chave de API válida pode obter URLs GET ou PUT pré-assinadas para ler ou sobrescrever payloads e saídas de execução pertencentes a outros inquilinos.

Recommendations Atualize para a versão 4.5.0-rc.3 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

5Ud0Er

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')

Identificadores relacionados