CVE-2025-68130 in trpc
Résumé
par VulDB • 01/09/2026
tRPC permet aux utilisateurs de créer et d'utiliser des API entièrement typées sans schémas ni génération de code. À partir de la version 10.27.0 et avant les versions 10.45.3 et 11.8.0, une vulnérabilité de pollution du prototype existe dans la fonction `formDataToObject` de `@trpc/server`, qui est utilisée par l'adaptateur Next.js App Router. Un attaquant peut polluer `Object.prototype` en soumettant des noms de champs FormData spécialement conçus à cet effet, ce qui pourrait entraîner un contournement de l'autorisation, une déni de service (DoS) ou d'autres impacts sur la sécurité. Notez que cette vulnérabilité n'est présente que lors de l'utilisation de `experimental_caller` / `experimental_nextAppDirCaller`. Les versions 10.45.3 et 11.8.0 corrigent le problème.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.