Trigger.dev before 4.5.4 Hardcoded Coordinator Secret Authentication Bypass via Socket.IO

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

Trigger.dev before 4.5.4 contains a hardcoded default secret vulnerability in the /coordinator Socket.IO namespace that allows unauthenticated attackers to connect using the published coordinator-secret value. Attackers can emit READY_FOR_EXECUTION to retrieve decrypted run environment variables or send TASK_RUN_FAILED_TO_RUN and similar events to tamper with arbitrary runs.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…er.dev/security/advisories/GHSA-gg6r-gp4c-89hp Üretici bülteni
• vulncheck.com/…tor-secret-authentication-bypass-via-socket-io Üçüncü taraf

Kayıt geçmişi

1. 21 Eki 2026 03:36Yayımlandı

İlgili açıklar

• 4,3 CVE-2026-114093'de /logout uç noktası üzerinden siteler arası istek sahteciliği açığı
• 5,3 CVE-2026-114091'de API replay rotasında çapraz kiracı çalıştırma yükü ifşası
• 6,5 CVE-2026-114092'de Pano Çalıştırma Tekrar Oynatma İşleminde Kimlik Doğrulama Eksikliği
• 8,8 CVE-2026-114089CLI yetkilendirme kodu akışında CSRF; PAT ele geçirmeye yol açıyor
• 8,1 CVE-2026-114087'de sabit kodlu varsayılan gizli anahtarlar nedeniyle kimlik doğrulama atlatma açığı
• 7,9 CVE-2026-114085Supervisor İş Yükü API'sinde Kimlik Doğrulama Eksikliği