CVE-2026-89140

Temporal Server, dahili tamamlanma geri çağırmalarını (completion callbacks) onları ekleyen ad alanına (namespace) bağlamamaktadır; bu durum, bir ad alanında yazma iznine sahip kimliği doğrulanmış bir çağırıcının, başka bir ad alanındaki Scheduler V2 zamanlama durumunu değiştirmesine olanak tanır. temporal://internal geri çağırma adresi, Scheduler V2'nin başlattığı İş Akışlarına (Workflows) eklediği geri çağırmalar için ayrılmıştır. Etkilenen sürümlerde, kimliği doğrulanmış herhangi bir çağırıcı, bir İş Akışı başlatma isteğine bu adrese sahip bir geri çağırma ekleyebilir; söz konusu adres component.callbacks.allowedAddresses izin listesinden muaftı ve Geçmiş (History) servisi, orijinal çağırıcıyı orada yetkilendirmeden, geri çağırmayı belirten jetonun adlandırdığı bileşene, hangi ad alanı olursa olsun iletmişti. Sahte tamamlanma, hedef bir zamanlamanın çalıştırdığı bir eylemle eşleştiğinde, zamanlama, İş Akışı hala çalışırken eylemi tamamlanmış olarak kaydeder; bu durum SKIP gibi bir örtüşme politikasını etkisiz hale getirebilir ve çağırıcı tarafından kontrol edilen verileri, son tamamlanma sonucu olarak bir sonraki planlanmış İş Akışına aktarır. Sahte bir hata, hata durumunda duraklatılacak şekilde yapılandırılmış bir zamanlamayı da duraklatabilir. Bir sahtecilik işlemi için hedef ad alanı tanımlayıcısı, zamanlama tanımlayıcısı ile çalışan bir eylemin kimliği ve zamanlaması gereklidir. İş Akışı yüklerinin veya geçmişinin ifşa edildiğine dair bir bulguya rastlanmamıştır. Yalnızca Scheduler V2 zamanlamaları içeren ad alanları hedeflenebilir; Scheduler V2 varsayılan olarak kapalıdır ve mevcut Scheduler V2 zamanlamaları, onları oluşturan ayarlar kapatıldıktan sonra da hedef olmaya devam eder.