VULNERABILIDAD

CVE-2026-89140 Callbacks internos de Temporal Server no vinculados a su namespace permiten cambios entre namespaces en…

Temporal Server no vincula los callbacks internos de finalización al namespace que los adjuntó, lo que permite a un llamador autenticado con permiso de escritura en un namespace alterar el estado de un schedule de Scheduler V2 en otro namespace. La dirección temporal://internal está reservada para callbacks que Scheduler V2 adjunta a los workflows que inicia; en las versiones afectadas, cualquier llamador autenticado podía adjuntar un callback con esa dirección a una solicitud de inicio de workflow, la dirección…

Alerta de Nureq Monitor

Detectada 12 OCT · 16:39

CVSS 4.0

6.0MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 25

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-89140

Productos y versiones afectadas

Temporal Technologies, Inc. Temporal Server
- desde 1.30.0 hasta antes de 1.30.8
Temporal Technologies, Inc. Temporal Server
- desde 1.31.0 hasta antes de 1.31.4
Temporal Technologies, Inc. Temporal Server
- desde 1.32.0 hasta antes de 1.32.1

Qué hacer

Verificá si usás Temporal Server y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 6.0 MEDIA

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Presentes
PRIVILEGIOS REQUERIDOS (PR): Bajos
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Ninguna
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Alta
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Ninguna

Abrir la calculadora completa

Descripción original

Temporal Server does not bind internal completion callbacks to the namespace that attached them, which allows an authenticated caller with write permission in one namespace to alter Scheduler V2 schedule state in another namespace. The callback address temporal://internal is reserved for callbacks that Scheduler V2 attaches to the Workflows it starts. In affected releases, any authenticated caller could attach a callback with that address to a Workflow start request, the address was exempt from the component.callbacks.allowedAddresses allowlist, and the History service delivered the callback to the component its token named, in whatever namespace that was, without authorizing the original caller there. When the forged completion matches an action a target schedule is running, the schedule records the action as completed while its Workflow still runs, which can defeat an overlap policy such as SKIP, and passes caller-controlled data to the next scheduled Workflow as its last completion result. A forged failure may also pause a schedule configured to pause on failure. A forgery requires the target namespace identifier, the schedule identifier, and the identity and timing of a running action. No disclosure of Workflow payloads or history was identified. Only namespaces that hold Scheduler V2 schedules can be targeted; Scheduler V2 is off by default, and existing Scheduler V2 schedules remain targets after the settings that create them are turned off.

Referencias

Historial de la alerta

12 OCT · 16:39VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.