← 戻る
CVE-2026-73654
high
CVSS 8.5
Trigger.dev: Prototype pollution via run metadata operations → process-wide cross-tenant DoS
概要
Trigger.dev: Prototype pollution via run metadata operations → process-wide cross-tenant DoS
AI要約 openai / gpt-4o
Trigger.devのAPIエンドポイントにおいて、ユーザーが提供したデータに基づいてプロトタイプ汚染が発生し、複数のテナントにわたるDoS攻撃が可能となる脆弱性が発見されました。攻撃者は、プロトタイプチェーンを通じてコードの一部を操作可能とし、認証やクエリ処理を中断させる恐れがあります。この問題はバージョン3.3.8から4.x（4.5.6で修正）までの範囲で影響を与えます。
❓ 何が問題か
Trigger.devのAPIエンドポイントにおけるプロトタイプ汚染脆弱性。
📍 影響範囲
バージョン3.3.8以降のTrigger.devのnpmパッケージ。
🔥 重要度
低権限の環境APIキーでプロセス全体が汚染され、複数テナントでのDoS攻撃が可能。
🔧 修正方法
バージョン4.5.6にアップデートして、この脆弱性を修正。
🛡️ 暫定回避
情報なし
🔍 検知方法
現在使用しているTrigger.devバージョンが3.3.8以上4.5.6未満の場合は影響を受ける可能性がある。
影響パッケージ
npm
@trigger.dev/core
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.5.6"}]}]