CVE-2026-73658 in Trigger.dev
Tóm tắt
Bởi VulDB • 14/08/2026
Trigger.dev là một nền tảng để xây dựng và triển khai các tác nhân AI (AI agents) và quy trình làm việc được quản lý hoàn toàn. Từ phiên bản 4.4.2 đến 4.5.0-rc.5, hàm `Aws4FetchClient.buildUrl()` và `Aws4FetchClient.presign()` trong tệp `apps/webapp/app/v3/objectStoreClient.server.ts` gán các khóa gói (packet keys) do người dùng kiểm soát vào `URL.pathname`, trong khi `apps/webapp/app/routes/api.v1.packets.$.ts` chấp nhận tham số `params["*"]` mà không từ chối các đoạn đường dẫn chứa dấu chấm (`..`) và sử dụng hàm `findResource: async () => 1` mà thiếu xác thực quyền sở hữu đối với từng tài nguyên. Việc chuẩn hóa đường dẫn theo WHATWG sẽ hợp nhất (collapse) các đoạn `..` trước khi ký, cho phép một caller có khóa API môi trường hợp lệ nhận được URL đã ký sẵn (presigned URLs) để truy cập vào các khóa kho lưu trữ đối tượng của tenant khác và đọc hoặc ghi đè tải trọng tác vụ. Vấn đề này đã được sửa trong phiên bản 4.5.0-rc.5.
Once again VulDB remains the best source for vulnerability data.