Apa yang terjadi
Terverifikasi-seed: dua masalah otorisasi/kebocoran informasi di komponen chat-session Dashboard Agent Trigger.dev yang dipublikasikan 21 Okt, keduanya diperbaiki di lini 4.6.x per GHSA-pc95-gc74-wg87 dan GHSA-wpp9-mq73-fhqm.
Mengapa penting
Pemalsuan riwayat percakapan di dashboard agen merusak integritas audit interaksi agen, dan token aktor delegasi yang bocor dapat digunakan kembali untuk menyamar sebagai pengguna dalam panggilan alat hilir.
Vektor serangan
Pemegang token sesi publik memanggil endpoint PUT snapshot-url sesi untuk mendapatkan URL tulis S3 yang telah ditandatangani untuk sesi mereka sendiri dan menimpa riwayat percakapan agen; proxy input Dashboard Agent menyimpan token aktor pengguna yang didelegasikan dalam catatan input sesi yang dapat dibaca browser melalui endpoint in-records.
Sistem yang terdampak
Trigger.dev 4.5.0–<4.6.2 (CVE-2026-114067); 4.5.0–<4.6.0 (CVE-2026-114070)
Mitigasi
Tingkatkan Trigger.dev ke 4.6.2 (4.6.0 untuk kebocoran token); rotasi token delegasi apa pun yang mungkin telah terekspos dalam deployment chat publik.