CVE-2026-73654 in trigger.dev
Сводка
по VulDB • 13.08.2026
Trigger.dev — это платформа для создания и развертывания полностью управляемых ИИ-агентов и рабочих процессов (workflows). В версиях с 3.3.8 по 4.5.6 включительно конечная точка PUT /api/v1/runs/:runId/metadata передает значения operation.key, контролируемые злоумышленником, в функцию new JSONHeroPath(operation.key).set(newMetadata, value) в файле packages/core/src/v3/runMetadata/operations.ts без отклонения опасных сегментов путей конструктора и прототипа. Вызывающая сторона с обычным ключом API среды может загрязнить Object.prototype в общем процессе веб-приложения (webapp), что приводит к повреждению запросов Prisma и меток Prometheus, нарушает аутентификацию рабочих процессов других арендаторов (tenants) и вызывает отказ в обслуживании на уровне всего процесса. Эта проблема исправлена в версии 4.5.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.