Vulnerabilidad en trpc (CVE-2025-68130)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
16/12/2025
Última modificación:
13/10/2026
Descripción
tRPC permite a los usuarios construir y consumir APIs completamente seguras en cuanto a tipos sin esquemas o generación de código. A partir de la versión 10.27.0 y antes de las versiones 10.45.3 y 11.8.0, existe una vulnerabilidad de contaminación de prototipos en la función formDataToObject de @trpc/server, que es utilizada por el adaptador del App Router de Next.js. Un atacante puede contaminar Object.prototype al enviar nombres de campos de FormData especialmente diseñados, lo que podría conducir a una omisión de autorización, denegación de servicio u otros impactos de seguridad. Tenga en cuenta que esta vulnerabilidad solo está presente al usar experimental_caller / experimental_nextAppDirCaller. Las versiones 10.45.3 y 11.8.0 solucionan el problema.
Impacto
Puntuación base 4.0
8.50
Gravedad 4.0
ALTA