CVE-2026-84298

Nome do Software Vulnerável e Versões Afetadas Hatchet versões anteriores a 0.95.3

Description O manipulador de stream V1 DurableTask armazena valores task external id fornecidos pelo worker no mapa de roteamento durableInvocations antes de verificar a propriedade do locatário (tenant). Como a entrega de callback resolve esse mapa usando o UUID da tarefa sem verificar a identidade do locatário, um worker de locatário autenticado poderia receber a carga útil do resultado do callback durável de outro locatário, caso conheça o UUID da tarefa alvo e mantenha um stream aberto no mesmo processo de despacho. Este problema não afeta implantações de locatário único, e valores UUIDv4 não são enumeráveis.

Recommendations Atualizar para a versão 0.95.3.