CVE-2026-114092

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões anteriores a 4.5.0

Description Existe um problema onde o manipulador de ação da rota de replay de execução do painel não realiza verificações de autenticação ou de organização. O sistema recupera execuções de tarefas usando apenas a variável friendlyId, permitindo que um invasor remoto que conheça este ID execute novamente uma tarefa em um ambiente de sua escolha. Isso pode levar à exposição do payload da tarefa da vítima ou à execução da tarefa usando os segredos e chaves de API da vítima. Além disso, um problema semelhante afeta o endpoint de conclusão de lote, que permite que qualquer usuário autenticado acione a conclusão de qualquer ID de lote. Os endpoints afetados são '/resources/taskruns/$runParam/replay' e '/resources/batches/$batchId/check-completion'.

Recommendations Atualize o Trigger.dev para a versão 4.5.0 ou posterior. Como medida paliativa temporária, restrinja o acesso aos endpoints '/resources/taskruns/$runParam/replay' e '/resources/batches/$batchId/check-completion'.