CVE-2026-89140
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Serwer Temporal Server nie wiąże wewnętrznych wywołań zwrotnych uzupełniania z przestrzenią nazw, która je dołączyła, co umożliwia uwierzytelnionemu obiektowi wywołującemu z uprawnieniami do zapisu w jednej przestrzeni nazw zmianę stanu harmonogramu programu Scheduler V2 w innej przestrzeni nazw. Adres wywołania zwrotnego temporal://internal jest zarezerwowany dla wywołań zwrotnych, które program planujący V2 dołącza do uruchamianych przepływów pracy. W wersjach, których to dotyczy, każdy uwierzytelniony obiekt wywołujący mógł dołączyć wywołanie zwrotne z tym adresem do żądania uruchomienia przepływu pracy, adres został wykluczony z listy dozwolonych komponentu.callbacks.allowedAddresses, a usługa History dostarczyła wywołanie zwrotne do komponentu o nazwie jego token, w dowolnej przestrzeni nazw, bez autoryzacji pierwotnego obiektu wywołującego. Gdy sfałszowane zakończenie pasuje do działania, które jest uruchomione w docelowym harmonogramie, harmonogram rejestruje akcję jako ukończoną, podczas gdy przepływ pracy nadal działa, co może obejść zasady nakładania się, takie jak SKIP, i przekazuje dane kontrolowane przez wywołującego do następnego zaplanowanego przepływu pracy jako ostatni wynik zakończenia. Sfałszowana awaria może również wstrzymać harmonogram skonfigurowany do wstrzymywania w przypadku awarii. Fałszerstwo wymaga identyfikatora docelowej przestrzeni nazw, identyfikatora harmonogramu oraz tożsamości i czasu wykonywanej akcji. Nie zidentyfikowano żadnych ujawnień dotyczących ładunków ani historii przepływu pracy. Można kierować tylko przestrzenie nazw zawierające harmonogramy programu Scheduler V2; Harmonogram w wersji 2 jest domyślnie wyłączony, a istniejące harmonogramy w wersji 2 pozostają obiektami docelowymi po wyłączeniu ustawień, które je utworzyły.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/temporalio/temporal/commit/a210eeb8c2cc7e22338bb4f552ff1171d8f35969
- https://github.com/temporalio/temporal/commit/d0bd72e85014f31ecfbada1b436b08806496dbef
- https://github.com/temporalio/temporal/pull/11876
- https://github.com/temporalio/temporal/pull/12318
- https://github.com/temporalio/temporal/pull/12319
- https://github.com/temporalio/temporal/pull/12320
- https://github.com/temporalio/temporal/pull/12382
- https://github.com/temporalio/temporal/releases/tag/v1.30.8
- https://github.com/temporalio/temporal/releases/tag/v1.31.4
- https://github.com/temporalio/temporal/releases/tag/v1.32.1
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org