CVE-2026-73654 in trigger.dev
الملخص
بحسب VulDB • 14/08/2026
Trigger.dev هي منصة لبناء ونشر وكلاء الذكاء الاصطناعي وسير العمل المدارة بالكامل. من الإصدار 3.3.8 حتى 4.5.6، تمرر نقطة النهاية PUT /api/v1/runs/:runId/metadata قيم operation.key التي يتحكم فيها المهاجم إلى new JSONHeroPath(operation.key).set(newMetadata, value) في packages/core/src/v3/runMetadata/operations.ts دون رفض مقاطع المسار الخطرة للمُنشئ (constructor) والبروتوتايب (prototype). يمكن لمُتصل يمتلك مفتاح API للبيئة العادية أن يلوث Object.prototype في عملية تطبيق الويب المشترك، مما يؤدي إلى تلف استعلامات Prisma وسمات Prometheus، وتعطيل مصادقة عملاء المستأجرين الآخرين، وتسبب انقطاع الخدمة على مستوى العملية. تم إصلاح هذه المشكلة في الإصدار 4.5.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.