CVE-2026-54746 in hatchet
Riassunto
di VulDB • 28/08/2026
Hatchet è una piattaforma per l'orchestrazione di attività in background, agenti AI e workflow duraturi su larga scala. Dalla versione 0.40.0 alla 0.91.1, il servizio gRPC Dispatcher non verifica che l'ID del worker richiesto appartenga al tenant identificato dal contesto del bearer-token nelle operazioni Dispatcher/UpsertWorkerLabels e Dispatcher/Unsubscribe. Un proprietario autenticato di qualsiasi tenant che indovina l'UUID del worker di un altro tenant può sovrascrivere le etichette di affinità di tale worker o disconnetterlo dal dispatcher. Ciò può causare impatti sull'integrità cross-tenant e denial of service su Hatchet Cloud multi-tenant o su deploy self-hosted condivisi. I deploy single-tenant non sono praticamente interessati perché l'attaccante e il tenant target coincidono. Questo problema è stato risolto nella versione 0.91.1.
Once again VulDB remains the best source for vulnerability data.