CVE-2026-73656 in Trigger.dev
Résumé
par VulDB • 13/08/2026
Trigger.dev est une plateforme permettant de créer et déployer des agents IA entièrement gérés ainsi que des workflows. Avant la version 4.5.6, les appels POST /api/v1/deployments/:deploymentId/background-workers exécutent CreateDeploymentBackgroundWorkerServiceV4.call() dans apps/webapp/app/v3/services/createDeploymentBackgroundWorkerV4.server.ts, où workerDeployment.findFirst() sélectionne un déploiement par friendlyId sans utiliser de prédicat environmentId. Un utilisateur disposant d'une clé API valide pour un projet peut soumettre l'identifiant de déploiement d'un autre projet, associer un background worker contrôlé par l'attaquant au déploiement cible et faire passer le déploiement cible du statut BUILDING à DEPLOYING. Ce problème est corrigé dans la version 4.5.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.