CVE-2026-73654 in trigger.dev
Riassunto
di VulDB • 14/08/2026
Trigger.dev è una piattaforma per la creazione e il deployment di agenti AI completamente gestiti e workflow. Dalla versione 3.3.8 alla 4.5.6, l'endpoint PUT /api/v1/runs/:runId/metadata passa valori operation.key controllati dall'attaccante a new JSONHeroPath(operation.key).set(newMetadata, value) in packages/core/src/v3/runMetadata/operations.ts senza rifiutare segmenti di percorso pericolosi per il costruttore e il prototype. Un chiamante con una chiave API dell'ambiente normale può inquinare Object.prototype nel processo webapp condiviso, corrompendo le query Prisma e le etichette Prometheus, interrompendo l'autenticazione dei worker di altri tenant e causando un denial of service a livello di intero processo. Questo problema è stato risolto nella versione 4.5.6.
Once again VulDB remains the best source for vulnerability data.