Trigger.dev: Fehlende Autorisierung legt geheimen Root-Schlüssel der Umgebung offen
Zusammenfassung
Trigger.dev vor 4.6.0 enthält eine fehlende Autorisierungsprüfung im Endpunkt GET /api/v1/projects/:projectRef/envvars. Der Endpunkt gibt für Staging-, Produktions- und Preview-Umgebungen den Root-API-Schlüssel der Umgebung als TRIGGER_SECRET_KEY zusammen mit Umgebungsvariablen im Klartext zurück. Ein Angreifer mit einem eingeschränkten API-Schlüssel mit dem Scope read:envvars kann so den Root-Schlüssel erlangen und danach Tasks auslösen sowie Admin-Public-JWTs erstellen. Development-Umgebungen sind nicht betroffen.
Betroffen
- trigger.dev-Versionen vor 4.6.0 (CVE-Eintrag: betroffen 0 bis < 4.6.0)
- Untere Grenze des betroffenen Bereichs: Unbekannt.
- Betroffene Umgebungen: Staging, Produktion und Preview (nicht Development).
- Hinweis: Das GitHub-Advisory führt 'betroffen <= 4.6.0' auf; die genaue Grenze dort prüfen.
Behoben in
- Auf trigger.dev 4.6.0 oder neuer aktualisieren.
Umgehung
- Keine Workaround-Massnahme des Herstellers bekannt.
- Einschränken, wer API-Schlüssel mit dem Scope read:envvars besitzt.
- API-Logs auf Aufrufe des Envvars-Endpunkts von unerwarteten Quellen prüfen.
Ausnutzung
- CISA SSVC: Exploitation 'poc', automatisierbar 'no', technische Auswirkung 'total'.
- Nicht in KEV gelistet.
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- Das GitHub-Advisory beschreibt ein Reproduktionsskript; ein separater öffentlicher Exploit wurde nicht gefunden.
Unsere Empfehlung
- Prüfen, ob Trigger.dev eingesetzt wird, insbesondere selbst gehostete Instanzen aus dem Internet erreichbar sind.
- Auf 4.6.0 oder neuer aktualisieren.
- Prüfen, welche API-Schlüssel den Scope read:envvars haben, und nicht benötigte Schlüssel entfernen.
- TRIGGER_SECRET_KEY und weitere als Umgebungsvariablen gespeicherte Geheimnisse rotieren, falls eine Offenlegung nicht ausgeschlossen werden kann.
- API-Logs auf Envvars-Anfragen aus unerwarteten Quellen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4gjx-f5hj-678x github.com
- VulnCheck advisory: Trigger.dev Root Secret Disclosure via envvars API Endpoint www.vulncheck.com
- OpenCVE: CVE-2026-114069 app.opencve.io
- HOL Guard: CVE-2026-114069 hol.org
- Trigger.dev API keys documentation trigger.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.