CVE-2026-114086

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões anteriores a 4.5.5

Descrição A ausência de autenticação no manipulador POST de streams em tempo real permite que invasores não autenticados injetem dados arbitrários em streams de execução em qualquer ambiente, incluindo produção. Isso ocorre porque o manipulador action no arquivo apps/webapp/app/routes/realtime.v1.streams.$runId.$streamId.ts não possui um wrapper de autenticação. Além disso, o sistema realiza a busca de execuções usando a variável friendlyId sem verificar o runtimeEnvironmentId, e esses identificadores seguem padrões previsíveis. O endpoint de API afetado é '/realtime/v1/streams/:runId/:streamId'.

Recomendações Atualize para a versão 4.5.5 ou posterior.