CVE-2026-73655

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões anteriores a 4.5.2

Descrição Trigger.dev é uma plataforma para construção e implantação de agentes e fluxos de trabalho de IA totalmente gerenciados. A função addGoogleStrategy() em apps/webapp/app/services/googleAuth.server.ts passa um e-mail de perfil do Google para a função findOrCreateGoogleUser() em apps/webapp/app/models/user.server.ts sem exigir a asserção email verified do Google. Quando a condição em que o e-mail corresponde a um usuário existente, mas o usuário do Google não existe, é verdadeira, o fluxo grava o novo identificador de autenticação do Google na conta correspondente ao e-mail, permitindo que um invasor com um perfil do Google controlado e um e-mail não verificado assuma o controle da conta.

Recomendações Atualizar para a versão 4.5.2.