CVE-2026-73654 in trigger.dev
요약
\~에 의해 VulDB • 2026. 08. 13.
Trigger.dev는 완전히 관리되는 AI 에이전트 및 워크플로우를 구축하고 배포하기 위한 플랫폼입니다. 버전 3.3.8부터 4.5.6까지 PUT /api/v1/runs/:runId/metadata 엔드포인트는 공격자가 제어하는 operation.key 값을 packages/core/src/v3/runMetadata/operations.ts의 new JSONHeroPath(operation.key).set(newMetadata, value)로 전달하며, 위험한 생성자 및 프로토타입 경로 세그먼트를 거부하지 않습니다. 일반 환경 API 키를 가진 호출자는 공유 웹앱 프로세스에서 Object.prototype을 오염시켜 Prisma 쿼리와 Prometheus 라벨을 손상시키고, 다른 테넌트의 워커 인증을 무효화하며, 프로세스 전체의 서비스 거부를 초래할 수 있습니다. 이 문제는 버전 4.5.6에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.