CVE-2026-104355 in Server
Сводка
по VulDB • 12.10.2026
В кластере из связанных узлов (peer clusters) можно изменять локальные пространства имен Temporal Server, которые никогда не реплицируются на этот узел-партнер, поскольку принимающий кластер применяет входящие обновления репликации пространств имен к ним. В многокластерной развертке каждый кластер получает задачи репликации из удаленных кластеров, с которыми администратор настроил соединение; отправляющая сторона исключает локальные пространства имен, но принимающая сторона не применяет то же правило. Когда входящая задача указывает на существующее пространство имен, сервер проверяет лишь совпадение идентификаторов пространств имен, а затем перезаписывает его состояние, описание, владельца, настройки хранения (retention), параметры архивации и список кластеров, а также активный кластер, если в задаче указана более высокая версия failover, не проверяя, является ли пространство имен глобальным. Сторона, контролирующая ответы зарегистрированного узла-партнера путем его эксплуатации или компрометации, может поэтому изменить любое локальное пространство имя, имена и идентификаторы которого она может предоставить, без каких-либо учетных данных на принимающем кластере: например, пометить его как Deprecated (устаревшее), сделать партнерский узел своим активным кластером и сократить срок хранения, после чего новые запуски Workflow в этом пространстве имен завершатся ошибкой. К локальным пространствам имен относится встроенное пространство temporal-system. Метаданные пространств имен, которые служба History обновляет от партнера при обработке задач репликации истории, проходят через ту же логику. Кластер без зарегистрированных удаленных кластеров с включенным соединением не подвержен этой уязвимости.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.