Trigger.dev: Cross-Site Request Forgery im CLI-Autorisierungsablauf führt zu PAT-Übernahme

Zusammenfassung

Trigger.dev vor 4.5.2 enthält eine Cross-Site Request Forgery-Schwachstelle im CLI-Autorisierungscode-Ablauf. Wird eine präparierte Autorisierungs-URL bei angemeldeter Sitzung aufgerufen, wird ohne Zustimmungsschritt still ein Personal Access Token (PAT) erstellt, das ein unauthentifizierter API-Endpunkt anschliessend an den Angreifer herausgibt. Ein Angreifer, der einen angemeldeten Benutzer zum Link lockt, kann so das Konto übernehmen, einschliesslich des Zugriffs auf alle Organisationen und Projekte, die der Benutzer erreichen kann.

Betroffen

• Trigger.dev-Versionen vor 4.5.2 (VulnCheck: >= 0, < 4.5.2)
• Managed Cloud und selbst gehostete Instanzen

Behoben in

• Auf Trigger.dev 4.5.2 oder neuer aktualisieren; die neueste Version wird empfohlen
• Die genaue erste korrigierte Version ist nicht durch eine primäre Quelle bestätigt; das Feld für gepatchte Versionen im GitHub-Advisory prüfen

Umgehung

• Keine vom Hersteller dokumentiert. Selbst gehostete Betreiber müssen aktualisieren; Nutzer der gehosteten Variante sind auf den Anbieter angewiesen.

Ausnutzung

• Öffentlicher Proof of Concept: ja (im Advisory des Maintainers verlinkt)
• CISA SSVC: Ausnutzung PoC, automatisierbar: nein, technische Auswirkung: total
• Nicht im CISA KEV-Katalog
• Ausnutzung in freier Wildbahn: unbekannt

Unsere Empfehlung

• Trigger.dev auf 4.5.2 oder neuer aktualisieren (neueste Version empfohlen)
• Bestehende Personal Access Tokens prüfen und widerrufen, insbesondere solche, die erstellt wurden, als ein Benutzer einen unbekannten Link angeklickt hat; möglicherweise exponierte Tokens rotieren
• Benutzer warnen, unerwartete Trigger.dev-Autorisierungslinks bei angemeldeter Sitzung nicht zu öffnen
• Aktivitäten in Konten und Organisationen auf unerwartete Änderungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-58mc-m3qq-6qrh github.com
• VulnCheck Advisory: Trigger.dev before 4.5.2 CLI Auth-Code Phishing www.vulncheck.com
• OpenCVE CVE-2026-114089 app.opencve.io
• Trigger.dev Management Authentication Docs trigger.dev
• Mend record CVE-2026-114089 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:10.