Trigger.dev: Fehlende Authentifizierung beim Wiederholen von Runs im Dashboard

Zusammenfassung

Trigger.dev vor 4.5.0 erlaubt einem entfernten Angreifer, einen Task-Run allein über dessen friendlyId zu wiederholen, ohne Authentifizierung und ohne Prüfung der Organisation. Die Wiederholung wird in einer vom Angreifer gewählten Umgebung ausgeführt. Ein Angreifer, der die friendlyId eines Runs kennt oder beschaffen kann, kann die Task-Payload auslesen oder den Task mit den Secrets des Opfers erneut ausführen. Die Ausnutzung ist gezielt, da der Angreifer die friendlyId benötigt.

Betroffen

• Trigger.dev-Versionen vor 4.5.0 (CVE-Eintrag, VulnCheck)
• GHSA-pp95-gc86-jq6q nennt <= 4.5.1; die Quellen erklären den Unterschied zu 4.5.0 nicht
• Selbst gehostete Instanzen sind das Hauptrisiko

Behoben in

• Auf Trigger.dev 4.5.2 oder neuer aktualisieren (beide GHSA-Advisories nennen 4.5.2 als korrigierte Version)
• Der CVE-Eintrag nennt nur 'vor 4.5.0'; die exakte korrigierte Version ist in den Release Notes zu prüfen

Umgehung

• Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
• Den Zugriff auf das Dashboard bis zur Korrektur auf vertrauenswürdige Netze oder VPN beschränken.
• Den Run-Verlauf auf unerwartete Wiederholungen in andere Umgebungen prüfen.
• Vom Task verwendete Secrets rotieren, wenn Replay-Aktivität gefunden wird oder nicht ausgeschlossen werden kann.

Ausnutzung

• CISA SSVC: Ausnutzung 'poc' (Proof of Concept vorhanden), automatisierbar: nein, technische Auswirkung: teilweise.
• In den Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• So rasch wie möglich auf Trigger.dev 4.5.2 oder neuer aktualisieren.
• Bis dahin den Zugriff auf das Dashboard auf vertrauenswürdige Netze beschränken.
• Run-Verlauf und Logs auf unerwartete Wiederholungen prüfen und im Zweifelsfall Secrets rotieren.
• Die CVSS-Bewertung unterscheidet sich zwischen den Quellen (NVD CVSS 4.0: 8.3; einige Aggregatoren: 6.5). Für die Planung 8.3 verwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Advisory GHSA-9fq3-68cw-r7p2 github.com
• GitHub Advisory GHSA-pp95-gc86-jq6q github.com
• VulnCheck advisory for Trigger.dev before 4.5.0 www.vulncheck.com
• VulDB entry CVE-2026-114092 vuldb.com
• Mend entry CVE-2026-114092 vulners.com
• OSV GHSA-pp95-gc86-jq6q osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:24.