Trigger.dev: Path Traversal in den Presigned-URL-Endpunkten für Packets

Zusammenfassung

Trigger.dev, eine Plattform für Workflows und KI-Agenten, enthält eine Path-Traversal-Schwachstelle in den Packets-API-Endpunkten. Ein Angreifer mit einem gültigen geheimen API-Schlüssel für eine beliebige Umgebung kann mit ../-Sequenzen im Dateinamen Presigned URLs für Objekte anderer Mandanten erhalten. Dadurch können Run-Payloads und Ausgaben anderer Mandanten gelesen oder überschrieben werden, die Zugangsdaten und Personendaten enthalten können. Laut GitHub-Advisory ist die Schwachstelle in der Konfiguration mit statischen Zugangsdaten für den Objektspeicher ausnutzbar, die für den mitgelieferten Self-Hosting-Stack der Standard ist.

Betroffen

• Trigger.dev bis einschliesslich 4.4.6 (GitHub-Advisory GHSA-gx7f-q62h-9fxp)
• Einige Drittquellen nennen andere Bereiche, zum Beispiel bis 4.5.0-rc.2 oder ab 4.4.2 (siehe Quellen)

Behoben in

• Trigger.dev 4.5.0-rc.3 oder neuer, gemäss GitHub-Advisory
• Ein Drittquellen-Eintrag nennt 4.5.0-rc.5 als behobene Version, daher ist die neueste verfügbare Version zu bevorzugen

Umgehung

Unbekannt. In den Quellen wurde kein Workaround des Herstellers genannt.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. CISA SSVC stuft die Ausnutzung als poc ein.
• Das GitHub-Advisory beschreibt einen lokal ausführbaren Proof of Concept.
• Gemeldet von 5ud0er.

Unsere Empfehlung

• Auf Trigger.dev 4.5.0-rc.3 oder neuer aktualisieren, vorzugsweise auf die neueste Version.
• API-Schlüssel rotieren, die von nicht vertrauenswürdigen oder externen Parteien gehalten werden.
• Zugriffsprotokolle der Packets-Endpunkte auf ungewöhnliche Dateinamen mit ../ prüfen.
• Bei Self-Hosting den eingesetzten Image-Tag und die Verwendung statischer Zugangsdaten für den Objektspeicher prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-gx7f-q62h-9fxp github.com
• VulnCheck advisory: Trigger.dev before 4.5.0-rc.3 path traversal www.vulncheck.com
• VulDB entry 423922 vuldb.com
• OpenCVE: CVE-2026-114083 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:24.