🇰🇷 한글 설명
Trigger.dev 4.5.2 미만 버전에서 인증된 테넌트가 검증되지 않은 웹훅 알림 채널 URL을 설정하여 서버 측 요청 위조(SSRF)를 일으킬 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 웹앱 서버가 내부 호스트나 클라우드 메타데이터 주소로 POST 요청을 보내도록 유도할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 가짜 주소를 입력하여 서버가 내부 네트워크의 다른 컴퓨터에 몰래 명령을 내리게 만드는 보안 약점입니다. 이를 통해 내부 정보가 유출되거나 시스템 설정이 변경될 위험이 있습니다.
🇺🇸 원문 (English)
Trigger.dev before 4.5.2 contains a blind server-side request forgery vulnerability that allows authenticated tenants to make the webapp server send POST requests to internal hosts by setting an unvalidated webhook alert channel URL. Attackers can point the webhook at internal services or cloud metadata addresses and trigger alerts to scan internal hosts, send state-changing POSTs, or reach IMDSv1 via redirects.
📍 영향받는 시스템
Trigger.dev versions before 4.5.2
⚔️ 공격 벡터
검증되지 않은 웹훅 알림 채널 URL 설정을 통한 Blind SSRF 공격
🛡️ 대응 방법
Trigger.dev를 4.5.2 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 패키지 버전이 4.5.2 미만인지 확인하십시오.
npm list @trigger.dev/sdk || echo 'Check your Trigger.dev version manually'