Trigger.dev: Mandantenübergreifende SQL-Injection im TSQL-Query-Compiler

Zusammenfassung

Trigger.dev vor 4.5.6 enthält eine SQL-Injection-Schwachstelle im TSQL-Query-Compiler, der Anfragen an den Query-Endpunkt POST /api/v1/query verarbeitet. Ein authentifizierter Kunde kann über einen Window-Function-Namen SQL einschleusen und in einer gemeinsam genutzten Umgebung Analysedaten anderer Organisationen auslesen. Für den Angriff genügt ein gültiges Kundenkonto oder ein gültiger API-Schlüssel, und die Auswirkung beschränkt sich auf die Vertraulichkeit.

Betroffen

• trigger.dev (npm) Versionen vor 4.5.6
• Die Quellen widersprechen sich beim Beginn des Bereichs (eine nennt 4.4.2 als Anfang). Alle Versionen vor 4.5.6 als betroffen behandeln.

Behoben in

• Auf trigger.dev 4.5.6 oder neuer aktualisieren.

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme.
• Übergangsmassnahmen (eigene Empfehlung, nicht aus einer Quelle): API-Schlüssel auf vertrauenswürdige Benutzer beschränken, Schlüssel von externen Parteien oder ehemaligen Mitarbeitenden rotieren und Logs von Anfragen an POST /api/v1/query prüfen, bis das Update eingespielt ist.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus 'poc' (Proof of Concept), automatisierbar: nein.
• Nicht als aktiv ausgenutzt gelistet.
• Der Hersteller-Advisory beschreibt eine Reproduktion; es wurde kein separater öffentlicher Exploit-Code gefunden.

Unsere Empfehlung

• Prüfen, ob trigger.dev direkt oder als Abhängigkeit eingesetzt wird, einschliesslich Lockfiles und Container-Images.
• Auf 4.5.6 oder neuer aktualisieren, bei gemeinsam genutzten oder aus dem Internet erreichbaren Instanzen mit Priorität.
• Bis zum Update API-Schlüssel einschränken, Schlüssel externer Parteien oder ehemaliger Mitarbeitender rotieren und Logs der Anfragen an POST /api/v1/query prüfen.
• Zusätzlich CVE-2026-114084 prüfen, das in derselben Version behoben ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9q4r-4842-93vw (vendor) github.com
• VulnCheck advisory www.vulncheck.com
• OSV GHSA-9q4r-4842-93vw osv.dev
• GitLab Advisory Database (npm trigger.dev) advisories.gitlab.com
• GitHub Advisory Database GHSA-9q4r-4842-93vw github.com
• OpenCVE CVE-2026-114081 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:25.