CVE-2026-114073

ŚrednieCVSS 5.5

Opublikowano: 21/10/2026(UTC)Zaktualizowano: 27/10/2026(UTC)Przetłumaczono: 21/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Trigger.dev CLI w wersjach przed 4.5.9 zawiera podatność polegającą na ujawnieniu informacji, która eksponuje rozwiązane wartości sekretów środowiska w logach debugowania wdrożenia poprzez serializację nieocenzurowanych zmiennych envVars. Atakujący z dostępem do transkryptów terminala, logów debugowania CI lub pakietów wsparcia mogą odczytać rekord Starting buildWorker, aby odzyskać ciągi połączeń do bazy danych i poświadczenia usług.

Ocena ryzyka

Ujawnienie poświadczeń może umożliwić atakującemu dostęp do bazy danych i innych usług, prowadząc do naruszenia danych i eskalacji uprawnień.

Rekomendacja

Zaktualizuj Trigger.dev CLI do wersji 4.5.9 lub nowszej. Natychmiast zrotuj ujawnione sekrety i przejrzyj logi pod kątem nieautoryzowanego dostępu.

Inne podatności w Trigger.dev CLI

CVE-2026-114090Wysokie
Trigger.dev cli-v3 w wersjach od 3.0.0 do 4.5.4 zawiera podatność braku uwierzytelniania w serwerze trigger dev --mcp, który wiąże wszystkie interfejsy sieciowe i udostępnia punkty końcowe /sse i /messages. Atakujący w sieci LAN lub złośliwe strony internetowe mogą wysyłać żądania MCP tools/call, aby wywołać trigger-task, cancel-run, list-runs i get-run-logs przy użyciu przechowywanego tokenu dostępu dewelopera.

Oryginalny opis (angielski, źródło NVD)

Trigger.dev CLI before 4.5.9 contains an information disclosure vulnerability that exposes resolved environment secret values in debug deployment logs by serializing unredacted envVars. Attackers with access to terminal transcripts, CI debug logs, or support bundles can read the Starting buildWorker record to recover database connection strings and service credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS