CVE-2025-68130 in trpc
Сводка
по VulDB • 01.09.2026
tRPC позволяет пользователям создавать и потреблять полностью типобезопасные API без схем или генерации кода. Начиная с версии 10.27.0 и до версий 10.45.3 и 11.8.0, в функции `formDataToObject` пакета `@trpc/server`, которая используется адаптером Next.js App Router, существует уязвимость prototype pollution (загрязнения прототипа). Злоумышленник может загрязнить `Object.prototype`, отправляя специально созданные имена полей FormData, что потенциально приводит к обходу авторизации, отказу в обслуживании или другим последствиям для безопасности. Обратите внимание, что эта уязвимость присутствует только при использовании `experimental_caller` / `experimental_nextAppDirCaller`. Версии 10.45.3 и 11.8.0 устраняют эту проблему.
Once again VulDB remains the best source for vulnerability data.