CVE-2026-73654

WysokieCVSS 8.5

Opublikowano: 13/08/2026(UTC)Zaktualizowano: 14/08/2026(UTC)Przetłumaczono: 14/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

Trigger.dev od wersji 3.3.8 do 4.5.6 zawiera podatność w punkcie końcowym PUT /api/v1/runs/:runId/metadata, gdzie wartości operation.key są przekazywane do new JSONHeroPath(operation.key).set() bez odrzucania niebezpiecznych segmentów ścieżek, takich jak constructor i prototype. Osoba z normalnym kluczem API środowiska może zanieczyścić Object.prototype w procesie webapp, co prowadzi do uszkodzenia zapytań Prisma, etykiet Prometheus, złamania uwierzytelniania innych dzierżawców i awarii całego procesu.

Ocena ryzyka

Atakujący może spowodować denial of service, naruszyć izolację między dzierżawcami i zakłócić działanie całej platformy.

Rekomendacja

Zaktualizuj Trigger.dev do wersji 4.5.6 lub nowszej, która zawiera poprawkę.

Oryginalny opis (angielski, źródło NVD)

Trigger.dev is a platform for building and deploying fully managed AI agents and workflows. From 3.3.8 until 4.5.6, the PUT /api/v1/runs/:runId/metadata endpoint passes attacker-controlled operation.key values to new JSONHeroPath(operation.key).set(newMetadata, value) in packages/core/src/v3/runMetadata/operations.ts without rejecting dangerous constructor and prototype path segments. A caller with a normal environment API key can pollute Object.prototype in the shared webapp process, corrupting Prisma queries and Prometheus labels, breaking other tenants' worker authentication, and causing a process-wide denial of service. This issue is fixed in version 4.5.6.