CVE-2025-68130
CVE-2025-68130 · tRPC has possible prototype pollution in `experimental_nextAppDirCaller`
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
tRPC allows users to build and consume fully typesafe APIs without schemas or code generation. Starting in version 10.27.0 and prior to versions 10.45.3 and 11.8.0, a A prototype pollution vulnerability exists in `@trpc/server`'s `formDataToObject` function, which is used by the Next.js App Router adapter. An attacker can pollute `Object.prototype` by submitting specially crafted FormData field names, potentially leading to authorization bypass, denial of service, or other security impacts. Note that this vulnerability is only present when using `experimental_caller` / `experimental_nextAppDirCaller`. Versions 10.45.3 and 11.8.0 fix the issue.
CVSS 8.5 · Hoch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
trpc
- Softwareversionen
- >= 10.27.0, < 10.45.3: Betroffen
- >= 11.0.0, < 11.8.0: Betroffen
Keine Korrektur veröffentlicht
@trpc/server npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 10.27.0, < 10.45.3
Auf 10.45.3 aktualisieren
@trpc/server npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 11.0.0, < 11.8.0
Auf 11.8.0 aktualisieren