CVE-2026-73658
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Trigger.dev od wersji 4.4.2 do 4.5.0-rc.5 ma podatność w Aws4FetchClient.buildUrl() i presign(), gdzie klucze pakietów kontrolowane przez użytkownika są przypisywane do URL.pathname, a trasa akceptuje parametry bez odrzucania segmentów kropek i bez walidacji własności zasobów. Normalizacja ścieżki WHATWG usuwa segmenty .. przed podpisaniem, umożliwiając uzyskanie presigned URL dla kluczy innego dzierżawcy i odczyt lub nadpisanie payloadów zadań.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do danych innych dzierżawców, co może prowadzić do wycieku danych lub manipulacji payloadami zadań.
Rekomendacja
Zaktualizuj Trigger.dev do wersji 4.5.0-rc.5 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Trigger.dev is a platform for building and deploying fully managed AI agents and workflows. From 4.4.2 until 4.5.0-rc.5, Aws4FetchClient.buildUrl() and Aws4FetchClient.presign() in apps/webapp/app/v3/objectStoreClient.server.ts assign user-controlled packet keys to URL.pathname, while apps/webapp/app/routes/api.v1.packets.$.ts accepts params["*"] without rejecting dot segments and uses findResource: async () => 1 without per-resource ownership validation. WHATWG path normalization collapses .. segments before signing, allowing a caller with a valid environment API key to obtain presigned URLs for another tenant's object-store keys and read or overwrite task payloads. This issue is fixed in version 4.5.0-rc.5.