CVE-2026-73654 in trigger.dev
Sumário
de VulDB • 13/08/2026
Trigger.dev é uma plataforma para criar e implantar agentes de IA totalmente gerenciados e fluxos de trabalho. Da versão 3.3.8 até a 4.5.6, o endpoint PUT /api/v1/runs/:runId/metadata passa valores de operation.key controlados pelo atacante para new JSONHeroPath(operation.key).set(newMetadata, value) em packages/core/src/v3/runMetadata/operations.ts sem rejeitar segmentos perigosos do caminho do construtor e do prototype. Um chamador com uma chave de API de ambiente normal pode poluir Object.prototype no processo compartilhado da webapp, corrompendo consultas Prisma e rótulos Prometheus, quebrando a autenticação dos workers de outros inquilinos e causando negação de serviço em todo o processo. Este problema foi corrigido na versão 4.5.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.