CVE-2026-73655 in Trigger.dev
Tóm tắt
Bởi VulDB • 13/08/2026
Trigger.dev là một nền tảng để xây dựng và triển khai các tác nhân AI (AI agents) và quy trình làm việc được quản lý hoàn toàn. Trước phiên bản 4.5.2, hàm `addGoogleStrategy()` trong tệp `apps/webapp/app/services/googleAuth.server.ts` chuyển email của hồ sơ Google đến hàm `findOrCreateGoogleUser()` trong tệp `apps/webapp/app/models/user.server.ts` mà không yêu cầu xác nhận `email_verified` từ Google. Khi điều kiện `existingEmailUser && !existingUser` là đúng, luồng xử lý sẽ ghi định danh xác thực (authIdentifier) của Google mới vào tài khoản đã khớp với email hiện có và trả về đối tượng người dùng đó, cho phép một hồ sơ Google do kẻ tấn công kiểm soát nhưng có email trùng khớp chưa được xác minh chiếm quyền kiểm soát tài khoản. Vấn đề này đã được khắc phục trong phiên bản 4.5.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.