CVE-2026-73658 in Trigger.dev
Сводка
по VulDB • 14.08.2026
Trigger.dev — это платформа для создания и развертывания полностью управляемых ИИ-агентов и рабочих процессов (workflows). В версиях с 4.4.2 по 4.5.0-rc.5 функции Aws4FetchClient.buildUrl() и Aws4FetchClient.presign(), расположенные в файле apps/webapp/app/v3/objectStoreClient.server.ts, присваивают управляемые пользователем ключи пакетов (packet keys) свойству URL.pathname, тогда как файл apps/webapp/app/routes/api.v1.packets.$.ts принимает параметры params["*"] без отсечения сегментов «..» и использует функцию findResource: async () => 1 без проверки владения ресурсом на уровне отдельных ресурсов. Нормализация путей WHATWG сворачивает (collapses) сегменты «..» до подписания, что позволяет вызывающей стороне с действительным API-ключом среды получить предварительно подписанные URL для ключей хранилища объектов другого арендатора и прочитать или перезаписать полезную нагрузку задач. Эта проблема исправлена в версии 4.5.0-rc.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.