CVE-2026-114087

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões anteriores a 4.5.6

Descrição Implantações auto-hospedadas que utilizam os segredos padrão de hosting/docker/.env.example estão suscetíveis a uma cadeia de ataque não autenticada de várias etapas. O problema decorre de segredos criptográficos fixos, especificamente o MAGIC LINK SECRET, que permite a um invasor forjar tokens de link mágico válidos e autenticar-se como qualquer endereço de e-mail. Este bypass de autenticação permite que invasores acessem redes de infraestrutura interna. A partir de containers de execução, os invasores podem alcançar o Postgres, Redis e ClickHouse usando credenciais padrão, levando ao comprometimento total de todos os dados dos locatários, chaves de API e segredos criptografados. A vulnerabilidade é agravada pelo reuso do SESSION SECRET para assinatura de JWT e a falta de autenticação no Redis.

Recomendações Atualize o Trigger.dev para a versão 4.5.6 ou posterior. Altere todos os segredos padrão fornecidos em hosting/docker/.env.example, incluindo MAGIC LINK SECRET, SESSION SECRET e ENCRYPTION KEY, para valores únicos e fortes. Atualize as credenciais padrão do Postgres e ClickHouse. Habilite a autenticação para o Redis.