CVE-2026-42572

إصدارات Hatchet الأقدم من 0.83.39

تسبب غياب توجيه التفويض في نقطة النهاية ’GET /api/v1/stable/dags/tasks‘ في تخطي عملية التحقق من عضوية المستأجر. يمكن للمستخدم المصادق عليه في مثيل متعدد المستأجرين الاستعلام عن نقطة النهاية هذه باستخدام معرّف UUID لمستأجر آخر ومعرّف UUID لـ DAG تابع لذلك المستأجر لاسترداد بيانات تعريف المهمة. تشمل البيانات المعرضة display name، وaction id، وstep id، وworkflow id، وworkflow version id، وworkflow run id، وtask external id، وtenant id، وretry count، وstatus، والطوابع الزمنية، وadditional metadata. قد يحتوي حقل additional metadata على سياق مجال حساس مثل معرّفات المستخدمين، أو معرّفات العملاء، أو علامات الميزات، أو رموز الارتباط.

قم بالترقية إلى الإصدار 0.83.39 أو أحدث.

قم بتقييد إنشاء الحسابات عن طريق تعيين SERVER AUTH RESTRICTED EMAIL DOMAINS إلى قائمة مسموح بها من المجالات الخاضعة للرقابة.

تأكد من عدم تعرض واجهة برمجة التطبيقات (API) لشبكات غير موثوق بها، مثل تشغيل البرنامج داخل شبكة VPC مزودة بضوابط شبكة مصادق عليها.