CVE-2026-114084

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões anteriores a 4.5.6

Description Um problema de SQL injection existe no endpoint '/realtime/v1/runs'. O sistema concatena o parâmetro de consulta tags não escapado na cláusula where do ElectricSQL shape, o que ignora a guarda de locatário runtimeEnvironmentId. Atacantes autenticados com uma chave de API de projeto com o escopo read:runs podem anexar condições booleanas para transmitir registros de TaskRun, incluindo payloads e metadados, de todas as organizações na mesma instância auto-hospedada.

Recommendations Atualize para a versão 4.5.6 ou posterior. Evite usar o parâmetro tags no endpoint '/realtime/v1/runs' até que a atualização seja aplicada.