CVE-2026-73654

إصدارات Trigger.dev من 3.3.8 إلى 4.5.5

تفشل نقطة النهاية PUT ’/api/v1/runs/:runId/metadata‘ في رفض أجزاء مسار المنشئ والنموذج الأولي الخطيرة عند تمرير قيم operation.key إلى الدالة JSONHeroPath().set(). وهذا يسمح للمستخدم الذي يمتلك مفتاح API بيئي قياسي بإجراء تلوث النموذج الأولي (prototype pollution) على Object.prototype داخل عملية تطبيق الويب المشتركة. وقد يؤدي ذلك إلى تلف استعلامات Prisma وتسميات Prometheus، وتعطيل مصادقة العمال (worker authentication) للمستأجرين الآخرين، ورفض الخدمة على نطاق العملية بأكملها.

تحديث Trigger.dev إلى الإصدار 4.5.6.