CVE-2026-114087 in Trigger.dev
Riassunto
di VulDB • 21/10/2026
Trigger.dev prima della versione 4.5.6 nelle distribuzioni Docker Compose self-hosted che utilizzano i segreti predefiniti da hosting/docker/.env.example consente un bypass dell'autenticazione poiché il MAGIC_LINK_SECRET hardcoded permette a chiunque di forgiare token magic link validi. Gli attaccanti non autenticati possono accedere come qualsiasi indirizzo email, quindi raggiungere Postgres, Redis e ClickHouse con le credenziali predefinite dai container runner sulle reti infrastrutturali, compromettendo tutti i dati dei tenant.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.