CVE-2026-114069
CVE-2026-114069 · Trigger.dev before 4.6.0 Root Secret Disclosure via envvars API Endpoint
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Trigger.dev before 4.6.0 contains an improper authorization vulnerability in the GET /api/v1/projects/:projectRef/envvars endpoint, which returns the environment's root API key as TRIGGER_SECRET_KEY for staging, production, and preview environments. Attackers holding a restricted read:envvars key can obtain the root secret and plaintext secrets, then trigger tasks and mint admin public JWTs.
CVSS 8.6 · Hoch · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
trigger.dev
- Softwareversionen
- ≥ 0, < 4.6.0: Betroffen (semver)
- 4.6.0: Nicht betroffen (semver)
Auf 4.6.0 aktualisieren