← Back
CVE-2026-73654
high
CVSS 8.5
Trigger.dev: Prototype pollution via run metadata operations → process-wide cross-tenant DoS
Summary
Trigger.dev: Prototype pollution via run metadata operations → process-wide cross-tenant DoS
AI summary openai / gpt-4o
Trigger.devのAPIエンドポイントにおいて、ユーザーが提供したデータに基づいてプロトタイプ汚染が発生し、複数のテナントにわたるDoS攻撃が可能となる脆弱性が発見されました。攻撃者は、プロトタイプチェーンを通じてコードの一部を操作可能とし、認証やクエリ処理を中断させる恐れがあります。この問題はバージョン3.3.8から4.x（4.5.6で修正）までの範囲で影響を与えます。
❓ What is the problem
Trigger.devのAPIエンドポイントにおけるプロトタイプ汚染脆弱性。
📍 Affected scope
バージョン3.3.8以降のTrigger.devのnpmパッケージ。
🔥 Severity
低権限の環境APIキーでプロセス全体が汚染され、複数テナントでのDoS攻撃が可能。
🔧 How to fix
バージョン4.5.6にアップデートして、この脆弱性を修正。
🛡️ Workaround
情報なし
🔍 Detection
現在使用しているTrigger.devバージョンが3.3.8以上4.5.6未満の場合は影響を受ける可能性がある。
Affected packages
npm
@trigger.dev/core
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.5.6"}]}]