CVE-2026-54746

Nome do Software Vulnerável e Versões Afetadas Hatchet versões 0.40.0 até 0.91.0

Descrição O serviço gRPC Dispatcher não verifica se o ID do worker de uma requisição pertence ao tenant identificado pelo contexto do bearer-token. Isso ocorre nos endpoints Dispatcher/UpsertWorkerLabels e Dispatcher/Unsubscribe. Um proprietário autenticado de qualquer tenant que consiga adivinhar o UUID do worker de outro tenant pode sobrescrever os rótulos de afinidade desse worker ou desconectá-lo do dispatcher. Isso pode causar impacto na integridade entre tenants e negação de serviço no Hatchet Cloud multi-tenant ou em implantações self-hosted compartilhadas. Implantações de tenant único não são afetadas na prática.

Recomendações Atualize para a versão 0.91.1.