CVE-2025-68130 in trpc
Zusammenfassung
von VulDB • 09.07.2026
tRPC ermöglicht es Benutzern, vollständig typsichere APIs ohne Schemas oder Code-Generierung zu erstellen und zu nutzen. Ab Version 10.27.0 und vor den Versionen 10.45.3 sowie 11.8.0 besteht in der Funktion `formDataToObject` von `@trpc/server`, die vom Next.js App Router Adapter verwendet wird, eine Prototype-Pollution-Schwachstelle. Ein Angreifer kann `Object.prototype` durch das Übermitteln speziell manipulierter FormData-Feldnamen verschmutzen, was potenziell zu einer Umgehung der Autorisierung, einem Denial of Service oder anderen Sicherheitsauswirkungen führen kann. Beachten Sie, dass diese Schwachstelle nur vorhanden ist, wenn `experimental_caller` / `experimental_nextAppDirCaller` verwendet wird. Die Versionen 10.45.3 und 11.8.0 beheben das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.