CVE-2026-114091
CVE-2026-114091 · Trigger.dev before 4.5.0 Cross-Tenant Run Payload Disclosure via API Replay Route
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Trigger.dev before 4.5.0 looks up runs by friendlyId alone in the api.v1.runs.$runParam.replay route without scoping the lookup to the caller's runtime environment. An attacker holding any tenant's API key who knows a victim's run friendlyId can replay that run into their own environment and read the victim's task payload.
CVSS 6.0 · Mittel · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
trigger.dev
- Softwareversionen
- ≥ 0, < 4.5.0: Betroffen (semver)
- 4.5.0: Nicht betroffen (semver)
Auf 4.5.0 aktualisieren