Trigger.dev: Authentifizierungsumgehung durch fest codierte Standardgeheimnisse

Zusammenfassung

Selbst gehostete Trigger.dev-Installationen vor Version 4.5.6, die die Standardgeheimnisse aus hosting/docker/.env.example verwenden, sind ohne Authentifizierung angreifbar. Das fest codierte MAGIC_LINK_SECRET erlaubt es einem Angreifer, Magic-Link-Token zu fälschen und sich als beliebige E-Mail-Adresse anzumelden. Anschliessend kann der Angreifer mit Standardzugangsdaten aus Runner-Containern auf die Dienste Postgres, Redis und ClickHouse zugreifen und sämtliche Mandantendaten einsehen.

Betroffen

• trigger.dev-Versionen vor 4.5.6 (GitHub-Advisory: 4.5.5 und frühere)
• Selbst gehostete Docker-Compose-Installationen, die die Standardgeheimnisse aus hosting/docker/.env.example verwenden
• Cloud-gehostetes Trigger.dev: durch die Quellen nicht als betroffen bestätigt

Behoben in

• Auf trigger.dev 4.5.6 oder neuer aktualisieren.

Umgehung

In den Quellen ist kein Workaround dokumentiert.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus ist Proof of Concept; automatisierbar: nein; technische Auswirkung: total.
• Öffentliche Advisories beschreiben die genauen Schritte, um mit dem bekannten Geheimnis ein Magic-Link-Token zu fälschen.

Unsere Empfehlung

• Alle selbst gehosteten Instanzen auf trigger.dev 4.5.6 oder neuer aktualisieren.
• Alle Standardgeheimnisse (MAGIC_LINK_SECRET, SESSION_SECRET, ENCRYPTION_KEY, MANAGED_WORKER_SECRET) sowie die Standardzugangsdaten für Datenbank, Redis und ClickHouse ersetzen.
• Prüfen, ob selbst gehostete Instanzen exponiert waren, und Benutzerkonten und Logs auf unbekannte E-Mail-Adressen kontrollieren.
• Runner-Container von Netzwerken fernhalten, die die Datenbank- und Cache-Dienste erreichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-pqxw-g93w-hj9x github.com
• VulnCheck advisory: Trigger.dev before 4.5.6 www.vulncheck.com
• GitHub Advisory Database GHSA-pqxw-g93w-hj9x github.com
• OSV GHSA-pqxw-g93w-hj9x osv.dev
• GitLab Advisory Database mirror GHSA-pqxw-g93w-hj9x advisories.gitlab.com
• OpenCVE CVE-2026-114087 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:10.