CVE-2026-73654

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões 3.3.8 até 4.5.5

Descrição O endpoint PUT '/api/v1/runs/:runId/metadata' não rejeita segmentos de caminho perigosos de construtor e protótipo ao passar valores de operation.key para a função JSONHeroPath().set(). Isso permite que um usuário com uma chave de API de ambiente padrão realize a poluição de protótipo no Object.prototype dentro do processo compartilhado do webapp. Isso pode levar à corrupção de consultas Prisma e rótulos do Prometheus, interrupção da autenticação de workers de outros locatários e a uma negação de serviço em todo o processo.

Recomendações Atualize o Trigger.dev para a versão 4.5.6.