CVE-2026-73656

KrytyczneCVSS 9.9

Opublikowano: 13/08/2026(UTC)Przetłumaczono: 14/08/2026(UTC)NVD NIST

Streszczenie

Trigger.dev to platforma do budowania i wdrażania w pełni zarządzanych agentów AI i workflow. Przed wersją 4.5.6, POST /api/v1/deployments/:deploymentId/background-workers wywołuje CreateDeploymentBackgroundWorkerServiceV4.call() w apps/webapp/app/v3/services/createDeploymentBackgroundWorkerV4.server.ts, gdzie workerDeployment.findFirst() wybiera wdrożenie po friendlyId bez predykatu environmentId. Osoba wywołująca z ważnym kluczem API dla jednego projektu może przesłać identyfikator wdrożenia innego projektu, powiązać worker tła należący do atakującego z wdrożeniem ofiary i przenieść wdrożenie ofiary ze stanu BUILDING do DEPLOYING. Ten problem jest naprawiony w wersji 4.5.6.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowaną modyfikację stanu wdrożeń innych projektów, co może prowadzić do zakłócenia działania usług i potencjalnego przejęcia wdrożeń.

Rekomendacja

Zaleca się aktualizację Trigger.dev do wersji 4.5.6 lub nowszej oraz wdrożenie kontroli dostępu opartej na środowisku (environmentId) dla endpointu.

Oryginalny opis (angielski, źródło NVD)

Trigger.dev is a platform for building and deploying fully managed AI agents and workflows. Prior to 4.5.6, POST /api/v1/deployments/:deploymentId/background-workers calls CreateDeploymentBackgroundWorkerServiceV4.call() in apps/webapp/app/v3/services/createDeploymentBackgroundWorkerV4.server.ts, where workerDeployment.findFirst() selects a deployment by friendlyId without an environmentId predicate. A caller with a valid API key for one project can submit another project's deployment identifier, link an attacker-owned background worker to the victim deployment, and move the victim deployment from BUILDING to DEPLOYING. This issue is fixed in version 4.5.6.