CVE-2026-114090

WysokieCVSS 7.1

Opublikowano: 21/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 21/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Trigger.dev cli-v3 w wersjach od 3.0.0 do 4.5.4 zawiera podatność braku uwierzytelniania w serwerze trigger dev --mcp, który wiąże wszystkie interfejsy sieciowe i udostępnia punkty końcowe /sse i /messages. Atakujący w sieci LAN lub złośliwe strony internetowe mogą wysyłać żądania MCP tools/call, aby wywołać trigger-task, cancel-run, list-runs i get-run-logs przy użyciu przechowywanego tokenu dostępu dewelopera.

Ocena ryzyka

Atakujący może wykonywać operacje w imieniu dewelopera, takie jak uruchamianie lub anulowanie zadań oraz dostęp do logów, co może prowadzić do naruszenia danych i zakłóceń w działaniu aplikacji. Może to również umożliwić dalszą eskalację uprawnień.

Rekomendacja

Zaktualizuj Trigger.dev CLI do wersji 4.5.4 lub nowszej. Ogranicz dostęp sieciowy do serwera MCP i stosuj silne uwierzytelnianie.

Inne podatności w Trigger.dev CLI

CVE-2026-114073Średnie
Trigger.dev CLI w wersjach przed 4.5.9 zawiera podatność polegającą na ujawnieniu informacji, która eksponuje rozwiązane wartości sekretów środowiska w logach debugowania wdrożenia poprzez serializację nieocenzurowanych zmiennych envVars. Atakujący z dostępem do transkryptów terminala, logów debugowania CI lub pakietów wsparcia mogą odczytać rekord Starting buildWorker, aby odzyskać ciągi połączeń do bazy danych i poświadczenia usług.

Oryginalny opis (angielski, źródło NVD)

Trigger.dev cli-v3 from 3.0.0 before 4.5.4 contains a missing authentication vulnerability in the trigger dev --mcp server, which binds all network interfaces and exposes the /sse and /messages endpoints. LAN attackers or malicious web pages can send MCP tools/call requests to invoke trigger-task, cancel-run, list-runs, and get-run-logs using the developer's stored access token.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS