CVE-2026-114079
CVE-2026-114079 · Trigger.dev before 4.5.6 Cross-Environment Deployment Cancel via Cancel Endpoint
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Trigger.dev before 4.5.6 contains an improper authorization vulnerability that allows holders of lower-trust environment API keys to cancel other environments' deployments because DeploymentService.getDeployment scopes lookups by projectId only. Attackers with a dev, preview, or CI secret key can POST to the deployment cancel endpoint to cancel in-progress production deployments within the same project.
CVSS 5.3 · Moyenne · EPSS 0,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
trigger.dev
- Versions du logiciel
- ≥ 0, < 4.5.6: Concernée (semver)
- 4.5.6: Non concernée (semver)
Mettez à jour vers 4.5.6
trigger.dev npm
- Plages de versions concernées
- SEMVER: < 4.5.6
Mettez à jour vers 4.5.6