CVE-2025-68130 in trpc
要約
〜によって VulDB • 2026年07月29日
tRPCを使用すると、スキーマやコード生成なしで完全に型安全なAPIの構築と利用が可能です。バージョン10.27.0以降かつバージョン10.45.3および11.8.0より前のバージョンにおいて、Next.js App Routerアダプターによって使用される `@trpc/server` の `formDataToObject` 関数にプロトタイプ汚染の脆弱性が存在します。攻撃者は特別に作成されたFormDataフィールド名を送信することで `Object.prototype` を汚染し、認可回避やサービス拒否（DoS）、その他のセキュリティ影響を引き起こす可能性があります。なお、この脆弱性は `experimental_caller` / `experimental_nextAppDirCaller` を使用している場合にのみ存在します。バージョン10.45.3および11.8.0で本問題は修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.