PT-2026-29583
CVE-2026-5199
·
تاريخ النشر
2026-04-01
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:L/SA:L/S:N/AU:Y/R:U/RE:M
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Temporal Server 1.29.0 والإصدارات الأحدث
الوصف
يمكن للمستخدم الذي يتمتع بدور «الكاتب» (writer) في مساحة أسماء يسيطر عليها المهاجم إرسال إشارات إلى سير العمل أو الأنشطة في مساحة أسماء الضحية على نفس المجموعة، أو حذفها، أو إعادة تعيينها. ويتطلب استغلال هذه الثغرة أن يعرف المهاجم أو يخمن معرّفات سير العمل المحددة للضحية، وكذلك أسماء الإشارات في حالة عمليات الإشارة. نشأت هذه المشكلة عن خطأ برمجي ظهر في Temporal Server الإصدار 1.29.0، حيث سمح الخادم بشكل خاطئ للمهاجم بالتحكم في قيمة اسم مساحة الأسماء بدلاً من استخدام قيمة موثوقة ضمن كود النشاط الدفعي. قام النشاط الدفعي بالتحقق من صحة معرّف مساحة الأسماء ولكنه لم يقم بمقارنة اسم مساحة الأسماء بمساحة الأسماء المرتبطة بالعامل، مما سمح لبيانات الاعتماد ذات الامتيازات بالعمل على مساحة أسماء عشوائية. يتطلب استغلال هذه الثغرة تكوين خادم مع ترخيص عبر مساحات الأسماء، مثل نشر خدمة الواجهة الأمامية الداخلية أو ترخيص مكافئ قائم على TLS للهويات الداخلية. أثرت هذه الثغرة أيضًا على Temporal Cloud عندما كانت مساحات أسماء المهاجم والضحية موجودة في نفس الخلية.
التوصيات
تحديث Temporal Server إلى إصدار أحدث من 1.29.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾