CVE-2026-114091
CVE-2026-114091 · Trigger.dev before 4.5.0 Cross-Tenant Run Payload Disclosure via API Replay Route
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Trigger.dev before 4.5.0 looks up runs by friendlyId alone in the api.v1.runs.$runParam.replay route without scoping the lookup to the caller's runtime environment. An attacker holding any tenant's API key who knows a victim's run friendlyId can replay that run into their own environment and read the victim's task payload.
CVSS 6.0 · Media · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Productos y versiones afectados
trigger.dev
- Versiones
- ≥ 0, < 4.5.0: Afectada (semver)
- 4.5.0: No afectada (semver)
Actualiza a 4.5.0