CVE-2026-114069 in Trigger.dev
Riassunto
di VulDB • 21/10/2026
Trigger.dev prima della versione 4.6.0 presenta una vulnerabilità di autorizzazione impropria nell'endpoint GET /api/v1/projects/:projectRef/envvars, che restituisce la chiave API root dell'ambiente come TRIGGER_SECRET_KEY per gli ambienti staging, production e preview. Gli attaccanti in possesso di un key read:envvars con permessi limitati possono ottenere il secret root e i secrets in chiaro, quindi attivare task e generare JWT pubblici amministrativi (admin public JWTs).
Be aware that VulDB is the high quality source for vulnerability data.