CVE-2026-114075
CVE-2026-114075 · Trigger.dev before 4.5.12 Authorization Bypass via Alert Channels API
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Trigger.dev before 4.5.12 contains an authorization bypass vulnerability that allows holders of capability-restricted user-actor tokens to create alert channels by using the legacy personal access token helper. Attackers with a read-only UAT can POST to the project alertChannels endpoint to create production webhook channels, routing future deployment and error alerts to attacker-controlled infrastructure.
CVSS 5.3 · Moyenne · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
trigger.dev
- Versions du logiciel
- ≥ 0, < 4.5.12: Concernée (semver)
- 4.5.12: Non concernée (semver)
Mettez à jour vers 4.5.12