何が起きたか
NVD RESTで検証済み（公開日2026-10-21）：`trigger dev --mcp`で起動されるMCPサーバーにおける認証欠如（CWE-306）。エンドポイントは全インターフェースで認証チェックなしに公開されており、任意のLAN攻撃者や悪意あるWebページが開発者のアカウントに対して5つのタスク管理ツールを呼び出せる。同じ波でさらに2件のTrigger.devの問題：PUT snapshot-urlの認可（CVE-2026-114067）とDashboard Agent input-proxyのトークン開示（CVE-2026-114070）。
なぜ重要か
MCPサーフェスを持つAIエージェント開発サーバーは、リバースプロキシ経由や共有ネットワーク上で実行されることが増えている。認証なしのMCPエンドポイントは、LAN上のすべてのピアを開発者のエージェントパイプラインのリモートオペレーターに変え、クラウドトークンを消費させることができる — これは現実的な開発者ツールのエージェント攻撃面である。
攻撃経路
開発サーバーの`/sse`および`/messages`エンドポイントへの認証なしMCPツール/呼び出しリクエストは、開発者の保存済みTrigger.devアクセストークンを使用して`trigger-task`、`cancel-run`、`list-runs`、`get-run-logs`を呼び出す。認証情報は不要で、LANまたはループバックバインドだが全インターフェースで待ち受けるサーバーへのCSRFスタイルのリクエストを介したブラウザから到達可能。
影響を受けるシステム
@trigger.dev/cli-v3 3.0.0 – <4.5.4（4.5.4で修正）
緩和策
@trigger.dev/cli-v3を4.5.4+にアップグレードすること。信頼できないネットワーク上で開発用MCPサーバーを実行しないこと。可能な場合はループバックのみにバインドすること。アドバイザリ：GHSA-pqmg-rq46-vm4m / VulnCheckアドバイザリ。