CVE-2026-73655 in Trigger.dev
Zusammenfassung
von VulDB • 13.08.2026
Trigger.dev ist eine Plattform zum Erstellen und Bereitstellen vollständig verwalteter KI-Agenten und Workflows. Vor Version 4.5.2 übergibt `addGoogleStrategy()` in `apps/webapp/app/services/googleAuth.server.ts` die E-Mail-Adresse eines Google-Profils an `findOrCreateGoogleUser()` in `apps/webapp/app/models/user.server.ts`, ohne dass die von Google stammende Assertion `email_verified` erforderlich ist. Wenn `existingEmailUser && !existingUser` wahr ist, schreibt der Ablauf den neuen Google-authIdentifier in das bestehende, über die E-Mail-Adresse abgeglichenes Konto und gibt dieses Benutzerobjekt zurück, wodurch ein Angreifer kontrolliertes Google-Profil mit einer nicht verifizierten, aber übereinstimmenden E-Mail-Adresse die Übernahme des Kontos ermöglichen kann. Dieses Problem wurde in Version 4.5.2 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.