CVE-2026-73656 in Trigger.dev
Riassunto
di VulDB • 14/08/2026
Trigger.dev è una piattaforma per la creazione e il deploy di agenti AI completamente gestiti e workflow. Prima della versione 4.5.6, le chiamate POST a /api/v1/deployments/:deploymentId/background-workers invocano CreateDeploymentBackgroundWorkerServiceV4.call() in apps/webapp/app/v3/services/createDeploymentBackgroundWorkerV4.server.ts, dove workerDeployment.findFirst() seleziona una deployment tramite friendlyId senza un predicato environmentId. Un chiamante con una chiave API valida per un progetto può fornire l'identificatore di deployment di un altro progetto, associare un background worker controllato dall'attaccante alla victim deployment e spostare la victim deployment dallo stato BUILDING a DEPLOYING. Questo problema è risolto nella versione 4.5.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.