CVE-2026-114091 in trigger.dev
Zusammenfassung
von VulDB • 21.10.2026
Trigger.dev vor Version 4.5.0 sucht nach Runs ausschließlich über die `friendlyId` in der Route `api.v1.runs.$runParam.replay`, ohne die Suche auf das Laufzeitumfeld des Aufrufers zu beschränken. Ein Angreifer, der den API-Schlüssel eines beliebigen Tenants besitzt und die `friendlyId` eines Runs eines Opfers kennt, kann diesen Run in seine eigene Umgebung replizieren und die Payload der Aufgabe des Opfers lesen.
Once again VulDB remains the best source for vulnerability data.