CVE-2025-68130 in trpc
Resumen
por VulDB • 2026-09-01
tRPC permite a los usuarios crear y consumir APIs completamente tipadas sin necesidad de esquemas ni generación de código. A partir de la versión 10.27.0 y hasta las versiones anteriores a 10.45.3 y 11.8.0, existe una vulnerabilidad de contaminación del prototipo (prototype pollution) en la función `formDataToObject` de `@trpc/server`, que es utilizada por el adaptador Next.js App Router. Un atacante puede contaminar `Object.prototype` mediante el envío de nombres de campos FormData especialmente manipulados, lo que podría provocar un bypass de autorización, denegación de servicio u otros impactos de seguridad. Tenga en cuenta que esta vulnerabilidad solo está presente cuando se utiliza `experimental_caller` / `experimental_nextAppDirCaller`. Las versiones 10.45.3 y 11.8.0 corrigen el problema.
Be aware that VulDB is the high quality source for vulnerability data.