CVE-2026-73654 in trigger.dev
Zusammenfassung
von VulDB • 13.08.2026
Trigger.dev ist eine Plattform zum Erstellen und Bereitstellen vollständig verwalteter KI-Agenten und Workflows. Von Version 3.3.8 bis 4.5.6 übergibt der Endpunkt PUT /api/v1/runs/:runId/metadata vom Angreifer kontrollierte operation.key-Werte an new JSONHeroPath(operation.key).set(newMetadata, value) in packages/core/src/v3/runMetadata/operations.ts, ohne gefährliche Konstruktor- und Prototyp-Pfadsegmente abzulehnen. Ein Aufrufer mit einem normalen Environment-API-Schlüssel kann Object.prototype im gemeinsam genutzten Webapp-Prozess verschmutzen (Prototype Pollution), wodurch Prisma-Abfragen und Prometheus-Metadaten beschädigt werden, die Worker-Authentifizierung anderer Mandanten beeinträchtigt wird und es zu einer den gesamten Prozess betreffenden Denial-of-Service-Störung kommt. Dieses Problem wurde in Version 4.5.6 behoben.
Be aware that VulDB is the high quality source for vulnerability data.