CVE-2026-108126

temporal-proxy 0.2.0 ile 0.8.0 arasındaki sürümler, şifrelenmiş yükleri (payload) şifrelendikleri namespace ile ilişkilendirmez. Yük şifreleme etkinleştirildiğinde, proxy çözme anahtarını isteğin namespace'inden ziyade yükte saklanan bir tanımlayıcıya göre seçer ve şifreli metinde bu namespace'e dair hiçbir kayıt bulunmaz. Proxy tarafından yalnızca namespace B için yetkilendirilen ve namespace A'dan şifrelenmiş bir yük elde eden bir çağırıcı, böylece proxy'ye bunu çözdürebilir. 0.8.0 sürümünde çağırıcı, yükü codec sunucusunun /decode uç noktasına gönderebilir. Etkilenen tüm sürümlerde, Temporal sunucusunda doğrudan namespace B'ye yazabilen bir çağırıcı, yükü oraya yerleştirebilir ve proxy üzerinden geri okuyabilir. Tek bir proxy yapılandırıldığı her anahtarı tuttuğu için, namespace'lerin varsayılan anahtarı paylaşıp paylaşmadığı veya her birinin kendi anahtarına sahip olup olmadığı fark etmeksizin bu durum geçerlidir. Bu sorun, saldırgana halihazırda elde edemeyeceği şifrelenmiş yükler sağlamaz ve şifrelenmiş yüklerin değiştirilmesine izin vermez.