Trigger.dev: Authentifizierungsumgehung über fest codiertes Standard-Coordinator-Geheimnis
Zusammenfassung
Trigger.dev enthält ein fest codiertes Standardgeheimnis für den Namespace /coordinator von Socket.IO. Der Wert ist im Quellcode veröffentlicht, weshalb sich ein nicht authentifizierter Angreifer, der eine selbst gehostete Instanz mit Standardkonfiguration erreichen kann, mit diesem Namespace verbinden kann. Der Angreifer kann danach entschlüsselte Umgebungsvariablen von Runs auslesen, die Produktionsgeheimnisse enthalten können, und Run-Zustände manipulieren, etwa Versuche als fehlgeschlagen markieren. Der verwaltete Cloud-Dienst ist laut Hersteller nicht betroffen.
Betroffen
- Selbst gehostetes Trigger.dev vor 4.5.4 (Herstellerhinweis)
- Von Dritten gemeldete betroffene Versionsbereiche weichen voneinander ab (zum Beispiel 4.4.2 bis 4.5.4 oder bis 4.5.3); der Herstellerhinweis nennt alle Versionen vor 4.5.4
- Die verwaltete Cloud (cloud.trigger.dev) ist laut Hersteller nicht betroffen
Behoben in
- Trigger.dev 4.5.4 und neuer. Die verwundbaren Namespaces und die Standardgeheimnisse wurden entfernt.
Umgehung
- Setzen Sie eindeutige, starke Werte für PROVIDER_SECRET und COORDINATOR_SECRET. Dies ist eine aus dem Hinweis abgeleitete Übergangsmassnahme und keine vom Hersteller genannte Workaround-Lösung.
- Beschränken Sie den Netzwerkzugriff auf den Webapp-Dienst auf vertrauenswürdige Netze.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar 'no', technische Auswirkung 'partial'.
- Im Herstellerhinweis wird eine öffentlich beschriebene Proof-of-Concept-Exploit-Kette beschrieben.
- Aktive Ausnutzung in freier Wildbahn ist unbekannt.
Unsere Empfehlung
- Prüfen Sie, ob Trigger.dev bei Ihnen selbst gehostet wird, und ermitteln Sie die installierte Version.
- Aktualisieren Sie selbst gehostete Instanzen so rasch wie möglich auf 4.5.4 oder neuer.
- Falls ein Update nicht sofort möglich ist, setzen Sie eindeutige Geheimnisse für PROVIDER_SECRET und COORDINATOR_SECRET und beschränken Sie den Netzwerkzugriff.
- Bei vermuteter Kompromittierung rotieren Sie die in Run-Umgebungsvariablen gespeicherten Geheimnisse und prüfen Sie die Run-Aktivitäten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-gg6r-gp4c-89hp github.com
- VulnCheck advisory www.vulncheck.com
- OSV GHSA-gg6r-gp4c-89hp osv.dev
- Trigger.dev v4.5.4 changelog trigger.dev
- Vulners CVE-2026-114088 vulners.com
- VulDB 423930 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:25.
Referenzen der NVD (3)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.