PT-2026-118389 · Unknown · A2A Java Sdk
CVE-2026-111762
·
تاريخ النشر
2026-10-20
·
تاريخ التحديث
2026-10-21
CVSS v4.0
5.7
متوسطة
| المتجه | AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المصاب والإصدارات المتأثرة
A2A Java SDK الإصدارات السابقة لـ 1.3.0.Final
Description
تقوم الدالة
parseRequestBody() في ملف RestHandler.java بتسجيل كامل جسم طلب JSON بمستوى SEVERE عندما تطلق JsonFormat.parser().merge() استثناء InvalidProtocolBufferException. يحدث هذا عندما يكون جسم الطلب بتنسيق JSON صالح ولكن يفشل في إلغاء تسلسل protobuf بسبب عدم تطابق المخطط أو وجود حقول غير معروفة تحت التحليل الصارم. عند تمكين إشعارات الدفع، قد تحتوي الطلبات المرسلة إلى endpoint /v1/tenants/{tenant}/tasks/{taskId}/pushNotificationConfigs على معلومات حساسة في المتغيرات token و authentication.credentials. وبناءً على ذلك، يتم كتابة رموز حامل هذه الرموز وبيانات اعتماد المصادقة في سجلات الخادم بنص واضح، مما يسمح للمهاجم الذي لديه وصول إلى السجلات باستردادها وربما إرسال تحديثات حالة مهام مزورة إلى endpoints إشعارات الدفع الخاصة بالعميل.Recommendations
تحديث A2A Java SDK إلى الإصدار 1.3.0.Final.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى ملفات سجلات الخادم وأنظمة تجميع السجلات لمنع استرداد بيانات الاعتماد بشكل غير مصرح به.
إصلاح
Insertion into Log File
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
A2A Java Sdk