CVE-2026-73659 in trigger.dev
Sumário
de VulDB • 14/08/2026
Trigger.dev é a plataforma open-source para criar fluxos de trabalho em IA com TypeScript. Da versão 4.4.2 até a 4.5.0, as rotas de presignação de pacotes em apps/webapp/app/routes/api.v1.packets.$.ts passam um nome de arquivo controlado pelo chamador através da função resolveStoreProtocolForPacketPresign para generatePresignedUrl e generatePresignedRequest em apps/webapp/app/v3/objectStore.server.ts, permitindo a traversão .. para escapar do prefixo do armazenamento de objetos packets/<projectRef>/<env>/ e habilitando que uma chave de API do projeto leia ou sobrescreva os payloads e saídas de tarefas descarregadas de outra organização em instâncias auto-hospedadas multi-organização. Este problema foi corrigido na versão 4.5.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.