CVE-2026-73658 in Trigger.dev
要約
〜によって VulDB • 2026年08月14日
Trigger.devは、完全に管理されたAIエージェントおよびワークフローの構築とデプロイのためのプラットフォームです。バージョン4.4.2から4.5.0-rc.5まで、`apps/webapp/app/v3/objectStoreClient.server.ts`内の`Aws4FetchClient.buildUrl()`および`Aws4FetchClient.presign()`は、ユーザーが制御可能なパケットキーをURL.pathnameに割り当てています。また、`apps/webapp/app/routes/api.v1.packets.$.ts`はドットセグメントの拒否を行わずにparams["*"]を受け入れ、リソースごとの所有権検証なしで`findResource: async () => 1`を使用しています。WHATWGパス正規化では署名前に..セグメントが折りたたまれるため、有効な環境APIキーを持つ呼び出し元は、別のテナントのオブジェクトストアキーに対するプレサイン付きURLを取得し、タスクペイロードを読み取ったり上書きしたりすることができます。この問題はバージョン4.5.0-rc.5で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.