CVE-2026-89140

Temporal Server daxili tamamlanma geri çağırışlarını (completion callbacks) onları əlavə edən ad sahəsinə (namespace) bağlamır ki, bu da bir ad sahəsində yazı icazəsi olan autentifikasiya olunmuş çağıran şəxsə digər ad sahəsindəki Scheduler V2 cədvəl vəziyyətini dəyişdirməyə imkan verir. temporal://internal geri çağırış ünvanı Scheduler V2 tərəfindən başlatdığı İş Axınlarına (Workflows) əlavə edilən geri çağırışlar üçün rezerv edilmişdir. Təsirə məruz qalan versiyalarda hər hansı autentifikasiya olunmuş çağıran şəxs İş Axınının başladılması sorğusuna həmin ünvanla geri çağırış əlavə edə bilirdi, bu ünvan component.callbacks.allowedAddresses ağ siyahısından istisna edilmişdi və Tarixçə (History) xidməti geri çağırışı onun tokeninin adlandırdığı komponentə, hansı ad sahəsində olmasından asılı olmayaraq, orijinal çağıran şəxsi orada avtorizasiya etmədən çatdırırdı. Saxtalaşdırılmış tamamlanma hədəf cədvəlin icra etdiyi hərəkətlə uyğunlaşdıqda, cədvəl İş Axını hələ də işləyərkən hərəkəti tamamlanmış kimi qeyd edir ki, bu da SKIP kimi üst-üstə düşmə siyasətini (overlap policy) sıradan çıxara bilər və çağıran tərəfindən idarə olunan məlumatları növbəti planlaşdırılmış İş Axınına sonuncu tamamlanma nəticəsi kimi ötürür. Saxtalaşdırılmış uğursuzluq həmçinin uğursuzluq zamanı dayanmaq üçün konfiqurasiya edilmiş cədvəli dayandıra bilər. Saxtakarlığa hədəf ad sahəsi identifikatoru, cədvəl identifikatoru, eləcə də işləyən hərəkətin kimliyi və vaxtı tələb olunur. İş Axını fayllarının (payloads) və ya tarixçəsinin açıqlanması aşkar edilməmişdir. Yalnız Scheduler V2 cədvəlləri olan ad sahələri hədəf ola bilər; Scheduler V2 standart olaraq söndürülmüşdür və mövcud Scheduler V2 cədvəlləri onları yaradan parametrlər söndürüldükdən sonra da hədəf olaraq qalır.