CVE-2026-114070
CVE-2026-114070 · Trigger.dev 4.5.0 before 4.6.0 Dashboard Agent User Token Disclosure via Session Records
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Trigger.dev 4.5.0 before 4.6.0 contains an information disclosure vulnerability in the Dashboard Agent input proxy that stores a delegated user-actor token in browser-readable session input records. Attackers holding a chat's public session token can read the in records endpoint to recover the token from payload.metadata.userActorToken and replay it for environment JWT exchange.
CVSS 5.1 · Средний · EPSS 0,3% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
trigger.dev
- Версии
- ≥ 4.5.0, < 4.6.0: Затронуто (semver)
- 4.6.0: Не затронуто (semver)
Обновитесь до 4.6.0