CVE-2026-73659

Nome do Software Vulnerável e Versões Afetadas Trigger.dev versões 4.4.2 até 4.4.9

Descrição Existe um problema nas rotas de pré-assinatura de pacotes localizadas em 'apps/webapp/app/routes/api.v1.packets.$.ts', onde um nome de arquivo controlado pelo usuário é passado através da função resolveStoreProtocolForPacketPresign para generatePresignedUrl e generatePresignedRequest em 'apps/webapp/app/v3/objectStore.server.ts'. Isso permite a travessia de caminho (path traversal) usando sequências .. para escapar do prefixo do object-store 'packets///'. Em instâncias auto-hospedadas de múltiplas organizações, um invasor com uma chave de API de projeto pode usar isso para ler ou sobrescrever payloads e saídas de tarefas descarregadas pertencentes a outra organização.

Recomendações Atualizar para a versão 4.5.0.