PT-2026-120214

CVE-2026-114088

Publicado

2026-10-02

Atualizado

2026-10-21

Descrição por

CVSS 4.0

9.2

Crítica

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões anteriores a 4.5.4

Description Instalações self-hosted contêm um segredo de autenticação padrão codificado no namespace Socket.IO /coordinator. Isso permite que invasores não autenticados se conectem usando o valor padrão coordinator-secret. Uma vez conectados, os invasores podem explorar o seguinte:

Divulgação de Informações: Ao emitir o evento READY FOR EXECUTION, invasores podem recuperar variáveis de ambiente descriptografadas de qualquer execução se possuírem o runId. Isso afeta especificamente implantações que ainda utilizam o Run Engine 1.0.
Modificação Não Autorizada de Dados: Invasores podem enviar eventos como TASK RUN FAILED TO RUN, TASK RUN COMPLETED, TASK RUN COMPLETED WITH ACK, CHECKPOINT CREATED ou CREATE WORKER para adulterar execuções arbitrárias usando payloads fornecidos pelo invasor. Isso é possível porque o sistema não verifica se o chamador tem autoridade sobre o runId ou attemptId fornecido na mensagem.