CVE-2026-107858
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Brak weryfikacji pochodzenia w gniazdach WebSockets (CWE-1385) i zezwalających zasad międzydomenowych z niezaufanymi domenami (CWE-942) na serwerze internetowym dla deweloperów (ADK Web) w zestawie Google Agent Development Kit (ADK) dla języka Java (com.google.adk:google-adk-dev wersje 0.1.0 przed 1.13.0 i com.google.adk:google-adk-maven-plugin wersje 0.3.0 przed 1.13.0) umożliwiają zdalnemu atakującemu kontrolowanie lokalnie działającego agenta i odczytywanie jego danych za pośrednictwem złośliwej strony internetowej odwiedzanej przez programistę podczas pracy serwera. Punkt końcowy protokołu WebSocket /run_live domyślnie akceptuje połączenia z dowolnego źródła (zakodowane na stałe przez setAllowedOrigins("*") w wersjach od 0.1.0 do 1.5.0 i domyślnie * przez adk.web.cors.origins w wersjach od 1.6.0 do 1.12.0), a od wersji 0.4.0 interfejs API REST zwraca domyślnie Access-Control-Allow-Origin: *. Ponieważ serwer nie ma uwierzytelnienia, a żądania pochodzą z przeglądarki programisty (więc powiązanie z localhost nie zapobiega nadużyciom), strona cross-origin może wysyłać wiadomości do agenta (uruchamiając zarejestrowane narzędzia), przesyłać strumieniowo odpowiedzi agentów oraz wyświetlać, czytać, tworzyć lub usuwać sesje i artefakty. W wersjach od 1.6.0 do 1.12.0 użytkownicy mogą złagodzić ten problem, ustawiając właściwość adk.web.cors.origins na jawną listę dozwolonych zaufanych źródeł (np. http://localhost:8000). Luka została naprawiona w wersji 1.13.0, która wymusza ustawienie domyślne tego samego pochodzenia dla CORS i punktu końcowego /run_live WebSocket oraz odrzuca żądania ponownego powiązania DNS za pomocą pętli zwrotnej.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/google/adk-java/commit/1ae5078072e13e101318e32833f1db323ef084e1
- https://github.com/google/adk-java/commit/5667d382ab5078a0d6e8f7184713a6bab767e004
- https://github.com/google/adk-java/commit/c2b087cbaf44f44d20dc946d8f2391506a2fce3d
- https://github.com/google/adk-java/issues/1257
- https://github.com/google/adk-java/pull/1222
- https://github.com/google/adk-java/releases/tag/v1.13.0
- https://github.com/google/adk-java/releases/tag/v1.6.0
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org