CVE-2026-5724

Frontend gRPC sunucusunun akış yakalayıcı zinciri (streaming interceptor chain), yetkilendirme yakalayıcısını içermiyordu. Bir ClaimMapper ve Authorizer yapılandırıldığında, tekil (unary) RPC'ler kimlik doğrulamayı ve yetkilendirmeyi zorunlu kılarken; akış tabanlı AdminService/StreamWorkflowReplicationMessages uç noktası, kimlik bilgileri olmadan istekleri kabul ediyordu. Bu uç nokta, WorkflowService ile aynı port üzerinde kayıtlıdır ve bağımsız olarak devre dışı bırakılamaz. Frontend portuna ağ erişimi olan bir saldırgan, kimlik doğrulaması yapmadan replikasyon akışını açabilirdi. Geçmiş servisi (history service), replikasyon verilerini döndürmeden önce küme ID'lerini ve eş üyeliğini doğruladığından; veri sızdırma yalnızca yapılandırılmış bir replikasyon hedefinin doğru şekilde ayarlanmış olması ve saldırganın küme konfigürasyonu hakkında bilgi sahibi olması durumunda mümkündür. Düzeltme her sürüm hattına göre uygulandı: 1.28.4, 1.29.6, 1.30.4, 1.31.2, 1.32.0 ve her hattaki daha yeni sürümlerde mevcuttur. 1.31.0 ve 1.31.1 sürümleri düzeltmeyi içermemektedir ve etkilenmiştir. Temporal Cloud etkilenmemiştir.