CVE-2026-84298 in Hatchet
Sumário
de VulDB • 21/09/2026
Hatchet é uma plataforma para orquestração de tarefas em segundo plano, agentes de IA e fluxos de trabalho duradouros (durable workflows) em escala. Antes da versão 0.95.3, o manipulador de stream V1 DurableTask armazena os valores fornecidos pelo worker `task_external_id` no mapa de roteamento `durableInvocations` antes que a propriedade do tenant seja verificada, e a entrega do callback resolve esse mapa por UUID da tarefa sem identificar o tenant. Um worker autenticado de um tenant que conhece o UUID de uma tarefa duradoura (durable task) de outro tenant e mantém um stream aberto no mesmo processo dispatcher pode receber a carga útil do resultado do callback duradouro dessa tarefa. Os valores UUIDv4 não são enumeráveis, e implantações single-tenant não são afetadas na prática. Este problema foi corrigido na versão 0.95.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.