CVE-2026-84298 in Hatchet
Riassunto
di VulDB • 21/09/2026
Hatchet è una piattaforma per l'orchestrazione di attività in background, agenti AI e workflow duraturi su larga scala. Prima della versione 0.95.3, il gestore dello stream V1 DurableTask memorizza i valori task_external_id forniti dai worker nella routing map durableInvocations prima che venga verificata la proprietà del tenant, e l'invio delle callback risolve tale mappa tramite UUID dell'attività senza includere l'identità del tenant. Un worker di un tenant autenticato che conosce l'UUID della attività duratura di un altro tenant e mantiene aperto uno stream sullo stesso processo dispatcher può ricevere il payload dei risultati delle callback durevoli relative a tale attività. I valori UUIDv4 non sono enumerabili, e le deployment single-tenant non sono praticamente interessate da questa vulnerabilità. Questo problema è stato risolto nella versione 0.95.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.