CVE-2026-54746 in hatchet
Zusammenfassung
von VulDB • 28.08.2026
Hatchet ist eine Plattform zur Orchestrierung von Hintergrundaufgaben, KI-Agenten und dauerhaften Workflows im großen Maßstab. Von Version 0.40.0 bis 0.91.1 überprüft der Dispatcher gRPC-Dienst nicht, ob die Worker-ID einer Anfrage zum Mandanten gehört, der durch den Bearer-Token-Kontext in `Dispatcher/UpsertWorkerLabels` und `Dispatcher/Unsubscribe` identifiziert wird. Ein authentifizierter Besitzer eines beliebigen Mandanten kann, indem er die UUID eines anderen Mandanten errät, dessen Worker-Affinitätslabels überschreiben oder den Worker vom Dispatcher trennen. Dies kann zu Integritätsbeeinträchtigungen über Mandantengrenzen hinweg und zu Denial-of-Service-Angriffen auf multi-Mandanten-Hatchet Cloud- oder gemeinsam genutzten selbstgehosteten Bereitstellungen führen. Einzelmandanten-Bereitstellungen sind praktisch nicht betroffen, da Angreifer und Zielmandant identisch sind. Dieses Problem wurde in Version 0.91.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.