PT-2025-51757 · Vercel+2 · Next.Js App Router+2

CVE-2025-68130 · Publicado 2025-12-16 · Atualizado 2025-12-16

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.5

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:L/SC:L/SI:H/SA:L

Nome do Software Vulnerável e Versões Afetadas Versões do tRPC de 10.27.0 a 10.45.2 Versões do tRPC de 11.0.0 a 11.7.9

Descrição O tRPC possibilita a criação de APIs totalmente typesafe sem exigir schemas ou geração de código. Existe uma vulnerabilidade de poluição de protótipo na função formDataToObject do @trpc/server, especificamente quando utilizada com o adaptador do Next.js App Router. Um atacante pode manipular o Object.prototype enviando nomes de campos FormData especialmente elaborados. Isso pode potencialmente levar a bypass de autorização ou negação de serviço. O problema ocorre apenas ao utilizar experimental caller / experimental nextAppDirCaller.

Recomendações Atualize para o tRPC versão 10.45.3 ou superior. Atualize para o tRPC versão 11.8.0 ou superior.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2025-68130

GHSA-43P4-M455-4F4J

Produtos afetados

@Trpc/Server

Next.Js App Router

Trpc

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/68xxx/CVE-2025-68130.json · Exploit
• https://github.com/trpc/trpc/commit/78629d524968ef8db5a7adf68d8b95a44369d77e · Nota
• https://github.com/trpc/trpc · Nota
• https://github.com/trpc/trpc/security/advisories/GHSA-43p4-m455-4f4j · Nota
• https://osv.dev/vulnerability/GHSA-43p4-m455-4f4j · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2000986383259984163 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-68130 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2001052941801627945 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-68130 · Nota de Segurança