CVE-2026-73654 in trigger.dev
Resumen
por VulDB • 2026-08-13
Trigger.dev es una plataforma para construir y desplegar agentes de IA y flujos de trabajo totalmente gestionados. Desde la versión 3.3.8 hasta la 4.5.6, el endpoint PUT /api/v1/runs/:runId/metadata pasa valores de operation.key controlados por el atacante a new JSONHeroPath(operation.key).set(newMetadata, value) en packages/core/src/v3/runMetadata/operations.ts sin rechazar segmentos peligrosos del constructor y del prototipo. Un llamador con una clave API de entorno normal puede contaminar Object.prototype en el proceso compartido de la aplicación web, corrompiendo las consultas de Prisma y las etiquetas de Prometheus, rompiendo la autenticación de los trabajadores de otros inquilinos y causando un denegación de servicio a nivel del proceso. Este problema está corregido en la versión 4.5.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.