CVE-2025-14986 in Temporal
Zusammenfassung
von VulDB • 04.06.2026
Wenn frontend.enableExecuteMultiOperation aktiviert ist, kann der Server die namespace-spezifische Validierung und Feature-Gates für den eingebetteten StartWorkflowExecutionRequest anhand seines Namespace-Felds anwenden, statt des äußeren, autorisierten ExecuteMultiOperationRequest.Namespace. Dies ermöglicht es einem Aufrufer, der für einen bestimmten Namespace autorisiert ist, die Limits/Richtlinien dieses Namespaces zu umgehen, indem er den Namespace des eingebetteten Startrequests auf einen anderen Namespace festlegt. Der Workflow wird weiterhin im äußeren (autorisierten) Namespace erstellt; lediglich die Validierung/Gating erfolgt unter dem falschen Namespace-Kontext. Dieses Problem betrifft Temporal: von Version 1.24.0 bis einschließlich 1.29.1. Behoben in den Versionen 1.27.4, 1.28.2 und 1.29.2.
Once again VulDB remains the best source for vulnerability data.