Aanvaller kon geheime instellingen inzien bij een deel van de klanten van ontwikkelplatform Trigger.dev
Het TypeScript-platform voor AI-agents en achtergrondtaken zegt dat het lek gedicht is, maar zwijgt over de oorzaak en het aantal getroffen klanten.
Trigger.dev, een open source platform waarmee ontwikkelaars in TypeScript achtergrondtaken en AI-agents bouwen en laten draaien, heeft zondag een beveiligingsincident gemeld. Volgens de verklaring op de eigen blog kreeg een aanvaller ongeoorloofd toegang tot de omgevingsvariabelen van een deel van de organisaties die het platform gebruiken. De gebruikte zwakke plek is volgens het bedrijf geblokkeerd en de eigenaars van getroffen accounts kregen een e-mail met stappen om de schade te beperken.
Hoe de aanvaller binnenkwam en hoeveel klanten getroffen zijn, zegt Trigger.dev niet. Ook aan The Register wou het bedrijf geen details geven in afwachting van een volledig incidentrapport. RuntimeWire, dat de verklaring van technisch directeur Eric Allam aanhaalt, wijst erop dat zulke variabelen vaak API-sleutels en wachtwoorden bevatten waarmee toegang tot andere diensten en infrastructuur mogelijk is.
The Register merkt op dat klanten die het risico van een gehoste dienst willen vermijden, het platform ook zelf kunnen draaien omdat de code open is. Wie geheimen in Trigger.dev bewaarde, doet er volgens de vakpers goed aan die te vervangen.