「trigger.dev」の脆弱性 CVE-2026-73656: アクセス制御の不備 (IDOR)

どんな危険があるか

Trigger.devプラットフォームにおいて、プロジェクト間のデプロイワーカー登録に脆弱性があります。バージョン4.5.6より前の環境では、有効なAPIキーを持つ攻撃者が別のプロジェクトのデプロイメントIDを悪用し、攻撃者自身のバックグラウンドワーカーを被害者デプロイメントにリンクさせることが可能です。これにより、被害者デプロイメントのステータスをBUILDINGからDEPLOYINGに不正に変更され、サービス運用に深刻な影響を与える可能性があります。

今すぐやること

Trigger.devの利用者は、バージョン4.5.6でこの問題が修正されているため、直ちにシステムをバージョン4.5.6以降にアップデートしてください。もしアップデートがすぐにできない場合は、ベンダーアドバイザリを確認し、一時的な回避策がないか検討することが重要です。不正なデプロイメント状態変更の有無を確認するための監査ログの監視も推奨されます。