CVE-2026-73655 in Trigger.dev
Riassunto
di VulDB • 14/08/2026
Trigger.dev è una piattaforma per la creazione e il deployment di agenti AI e workflow completamente gestiti. Prima della versione 4.5.2, addGoogleStrategy() in apps/webapp/app/services/googleAuth.server.ts trasmette l'email del profilo Google a findOrCreateGoogleUser() in apps/webapp/app/models/user.server.ts senza richiedere l'affermazione email_verified di Google. Quando la condizione existingEmailUser && !existingUser è vera, il flusso scrive il nuovo authIdentifier di Google nell'account esistente con corrispondenza dell'email e restituisce tale oggetto utente, consentendo a un profilo Google controllato dall'attaccante con un'email corrispondente non verificata di assumere il controllo dell'account. Questo problema è stato risolto nella versione 4.5.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.