Trigger.dev多漏洞修复(CVE-2026-73656):SSRF/权限提升/速率限制

漏洞概述 漏洞编号: CVE-2026-73656 漏洞描述: Trigger.dev 平台存在多个安全问题，包括： - SSRF（服务器端请求伪造） - 更严格的 URL 模式用于平台通知 - 租户/环境范围的批量、触发、重放和幂等性查找 - 每表查询授权通过新的 TRQL 表检测器 - 速率限制用于 ai-side 端点 - 提示覆盖源规范化 - 日志中的秘密减少 - 环境、JWT 上下文、Slack 集成、worker 头部的 same-origin/CSP 检查 - 用于 impersonation 和 batch-resume 重定向的 email allowlist 模式匹配器 - 提取的 invite 级 ladder 实用程序 - 工作组项目访问检查 - Google 电子邮件验证执行 - 重构/可测试的 MFA 速率限制器 - 提取的 removeTeamMember 模块 - CLI 修复传播 MCP 服务器的 --dev-only 标志 - 新的单元测试和集成测试伴随每个更改 影响范围 受影响组件: - Webhook 验证和获取包装器用于警报交付 - 平台通知的更严格 URL 模式 - 租户/环境范围的批量、触发、重放和幂等性查找 - 每表查询授权 - ai-side 端点的速率限制 - 提示覆盖源规范化 - 日志中的秘密减少 - 环境、JWT 上下文、Slack 集成、worker 头部的 same-origin/CSP 检查 - 用于 impersonation 和 batch-resume 重定向的 email allowlist 模式匹配器 - 提取的 invite 级 ladder 实用程序 - 工作组成员访问检查 - Google 电子邮件验证执行 - 重构/可测试的 MFA 速率限制器 - 提取的 removeTeamMember 模块 - CLI 修复传播 MCP 服务器的 --dev-only 标志 修复方案 修复措施: - 实施 SSRF 安全的 webhook 验证和获取包装器 - 使用更严格的 URL 模式用于平台通知 - 实现租户/环境范围的批量、触发、重放和幂等性查找 - 通过新的 TRQL 表检测器实现每表查询授权 - 为 ai-side 端点实施速率限制 - 实现提示覆盖源规范化 - 在日志中减少秘密 - 实施 same-origin/CSP 检查用于环境、JWT 上下文、Slack 集成、worker 头部 - 实现用于 impersonation 和 batch-resume 重定向的 email allowlist 模式匹配器 - 提取 invite 级 ladder 实用程序 - 实施工作组成员访问检查 - 实施 Google 电子邮件验证执行 - 重构/可测试的 MFA 速率限制器 - 提取 removeTeamMember 模块 - CLI 修复传播 MCP 服务器的 --dev-only 标志 - 添加新的单元测试和集成测试 POC 代码或利用代码 无 POC 代码或利用代码 其他信息 发布日期: 2026-07-06 相关 Issue: #4199 相关 PR: #4199 相关 Commit: 3451a18 相关 Branch: security-release/2026-07-06 总结 Trigger.dev 平台存在多个安全问题，包括 SSRF、更严格的 URL 模式、租户/环境范围的批量、触发、重放和幂等性查找、每表查询授权、ai-side 端点的速率限制、提示覆盖源规范化、日志中的秘密减少、same-origin/CSP 检查、email allowlist 模式匹配器、invite 级 ladder 实用程序、工作组成员访问检查、Google 电子邮件验证执行、MFA 速率限制器、removeTeamMember 模块和 CLI 修复传播 MCP 服务器的 --dev-only 标志。这些问题已通过实施相应的安全措施得到修复。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Trigger.dev多漏洞修复(CVE-2026-73656):SSRF/权限提升/速率限制

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Trigger.dev多漏洞修复(CVE-2026-73656):SSRF/权限提升/速率限制

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！