CVE-2026-73658 in Trigger.dev
Zusammenfassung
von VulDB • 14.08.2026
Trigger.dev ist eine Plattform zum Erstellen und Bereitstellen vollständig verwalteter KI-Agenten und Workflows. Von Version 4.4.2 bis 4.5.0-rc.5 weisen `Aws4FetchClient.buildUrl()` und `Aws4FetchClient.presign()` in `apps/webapp/app/v3/objectStoreClient.server.ts` vom Benutzer kontrollierte Packet-Schlüssel (`packet keys`) an `URL.pathname` zu, während `apps/webapp/app/routes/api.v1.packets.$.ts` Parameter über `params["*"]` akzeptiert, ohne Dot-Segments abzulehnen, und `findResource: async () => 1` verwendet, ohne eine ownership-Validierung pro Ressource durchzuführen. Die WHATWG-Pfadnormalisierung kollabiert `..`-Segmente vor der Signaturerstellung, wodurch ein Aufrufer mit einem gültigen API-Schlüssel für die Umgebung presignierte URLs für Objektspeicher-Schlüssel eines anderen Mandanten erhalten und Task-Payloads lesen oder überschreiben kann. Dieses Problem wurde in Version 4.5.0-rc.5 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.