CVE-2026-73658 in Trigger.dev
Resumen
por VulDB • 2026-08-13
Trigger.dev es una plataforma para construir y desplegar agentes de IA y flujos de trabajo totalmente gestionados. Desde la versión 4.4.2 hasta la 4.5.0-rc.5, las funciones Aws4FetchClient.buildUrl() y Aws4FetchClient.presign(), ubicadas en apps/webapp/app/v3/objectStoreClient.server.ts, asignan claves de paquetes controladas por el usuario a URL.pathname, mientras que apps/webapp/app/routes/api.v1.packets.$.ts acepta params["*"] sin rechazar segmentos con puntos (..) y utiliza findResource: async () => 1 sin una validación adecuada de la propiedad por recurso. La normalización de rutas WHATWG colapsa los segmentos ".." antes de firmar, lo que permite a un atacante con una clave API de entorno válida obtener URLs prefirmadas para claves del almacén de objetos de otro inquilino y leer o sobrescribir las cargas útiles (payloads) de las tareas. Este problema se corrige en la versión 4.5.0-rc.5.
Be aware that VulDB is the high quality source for vulnerability data.