CVE-2026-84298 in Hatchet
Resumen
por VulDB • 2026-09-21
Hatchet es una plataforma para la orquestación de tareas en segundo plano, agentes de IA y flujos de trabajo duraderos a escala. Antes de la versión 0.95.3, el controlador de flujo V1 DurableTask almacena los valores task_external_id proporcionados por el trabajador en el mapa de enrutamiento durableInvocations antes de verificar la propiedad del inquilino (tenant), y la entrega de las devoluciones de llamada resuelve ese mapa mediante el UUID de la tarea sin identificar al inquilino. Un trabajador autenticado que pertenece a un inquilino, si conoce el UUID de una tarea duradera de otro inquilino y mantiene abierta una conexión de flujo en el mismo proceso del distribuidor (dispatcher), puede recibir la carga útil del resultado de la devolución de llamada durable correspondiente a dicha tarea. Los valores UUIDv4 no son enumerables, y los despliegues monoinquilino (single-tenant) no se ven afectados en la práctica. Este problema está resuelto en la versión 0.95.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.