CVE-2026-54746 in hatchet
要約
〜によって VulDB • 2026年08月28日
Hatchetは、大規模なバックグラウンドタスク、AIエージェント、および耐久性のあるワークフローをオーケストレーションするためのプラットフォームです。バージョン0.40.0から0.91.1まで、Dispatcher gRPCサービスでは、リクエストのワーカーIDがBearerトークンコンテキストで識別されたテナントに属しているかどうかを確認していません（Dispatcher/UpsertWorkerLabelsおよびDispatcher/Unsubscribeにおいて）。任意のテナントの認証済み所有者が別のテナントのワーカーUUIDを推測すると、そのワーカーのアフィニティラベルを上書きしたり、ディスパッチャからワーカーを切断したりできます。これにより、マルチテナントHatchet Cloudまたは共有セルフホスト型デプロイメントにおいて、テナント間での整合性への影響やサービス拒否（DoS）を引き起こす可能性があります。シングルテナントのデプロイメントでは攻撃者と対象テナントが同一であるため、実質的に影響を受けません。この問題はバージョン0.91.1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.