CVE-2026-111761
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
A2A Java SDK to oficjalny pakiet Java SDK dla protokołu Agent2Agent (A2A). W wersji wcześniejszej niż 1.3.0.Final BasePushNotificationSender we wspólnym serwerze wysyła dane zadania do adresu URL w TaskPushNotificationConfig bez sprawdzania miejsca docelowego, ograniczeń schematu lub ograniczeń dotyczących przekierowań. InMemoryPushNotificationConfigStore.setInfo przechowuje dokładny adres URL, a onCreateTaskPushNotificationConfig nie sprawdza poprawności miejsca docelowego. W domyślnym wdrożeniu z włączonymi powiadomieniami push nieuwierzytelniony obiekt wywołujący może zarejestrować miejsce docelowe za pomocą wbudowanej konfiguracji SendMessage lub CreateTaskPushNotificationConfig dla istniejącego zadania, powodując aktualizacje stanu zadań i artefaktów w celu wysyłania żądań z pozycji sieciowej serwera do pętli zwrotnej, prywatnych, lokalnych metadanych w chmurze, unikalnych lokalnych, nieokreślonych miejsc docelowych IPv6 lub multiemisji, jeśli pozwala na to routing. JdkA2AHttpClient i VertxA2AHttpClient podążają za przekierowaniami, umożliwiając przekierowanie webhooka w celu ominięcia kontroli miejsc docelowych w czasie tworzenia i konwersji POST na GET; sprawdzanie tylko nazwy hosta również nie zapobiega ponownemu powiązaniu DNS. Bezpośrednie dostarczenie POST może wypchnąć dane zadania, na które wpływa atakujący, do usług wewnętrznych, podczas gdy przekierowane żądanie POST-to-GET powoduje porzucenie treści. Nadawca odrzuca pobraną odpowiedź i nie ujawnia powodzenia ani niepowodzenia dostarczenia, więc zademonstrowane zachowanie nie zapewnia odczytu odpowiedzi. Nie są wymagane żadne poświadczenia ani interakcja użytkownika. Ten problem został rozwiązany w wersji 1.3.0.Final.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org