CVE-2026-114070
CVE-2026-114070 · Trigger.dev 4.5.0 before 4.6.0 Dashboard Agent User Token Disclosure via Session Records
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Trigger.dev 4.5.0 before 4.6.0 contains an information disclosure vulnerability in the Dashboard Agent input proxy that stores a delegated user-actor token in browser-readable session input records. Attackers holding a chat's public session token can read the in records endpoint to recover the token from payload.metadata.userActorToken and replay it for environment JWT exchange.
CVSS 5.1 · Moyenne · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
trigger.dev
- Versions du logiciel
- ≥ 4.5.0, < 4.6.0: Concernée (semver)
- 4.6.0: Non concernée (semver)
Mettez à jour vers 4.6.0