cveboard Feed RSS

GHSA-gg6r-gp4c-89hp

GitHubCrítica, npm

Trigger.dev: Socket.IO não autenticado do coordenador V1 default-secret

Traduzido automaticamente do inglês.

O namespace Socket.IO /coordinator é montado em cada inicialização do webapp e autentica com um segredo padrão ("coordinator-secret") embutido no código-fonte. A variável de substituição não é documentada nos docs de auto-hospedagem, .env.example ou valores do helm, então qualquer operador que não leu o código-fonte navega com o padrão. Uma vez conectado, READY_FOR_EXECUTION retorna as variáveis de ambiente do run descriptografadas.

Sem exploração conhecida
Gravidade
Crítica, CVSS 9.2 (v4.0)
Pacotes afetados