CVE-2026-111764

اسم البرنامج المصاب والإصدارات المتأثرة A2A Java SDK الإصدارات السابقة لـ 1.3.0.Final

Description لا يقوم تكوين InMemoryTaskStore الافتراضي بإجراء أي تفويض عند قراءة المهام. يقوم المشيد بدون وسائط بتعيين authorizationProvider على أنه null، وتقوم الدالة get(String taskId) بإرجاع المهمة المخزنة دون التحقق من المتصل أو المالك. يتم فرض التفويض فقط إذا قامت التطبيق بتوفير TaskAuthorizationProvider وتوجيه الطلبات من خلال AuthorizationRequestHandlerDecorator. في عمليات النشر التي تستخدم ربط المتجر الافتراضي، أو معالجات DefaultRequestHandler.builder().build() التي يتم إنشاؤها يدويًا، أو عمليات التكامل مثل Spring، تظل عمليات قراءة المهام غير محمية. وبناءً على ذلك، يمكن لمتصل غير مصرح له، إذا عرف أو خمن taskId ، استرداد معلومات حساسة، بما في ذلك حالة المهمة، ومعرف السياق، وسجل الرسائل، والمرفقات. يعد هذا الأمر خطيرًا بشكل خاص في عمليات النشر متعددة المتصلين حيث لا تفرض نقاط نهاية النقل الافتراضية المصادقة.

Recommendations تحديث A2A Java SDK إلى الإصدار 1.3.0.Final. كإجراء مؤقت، قم بتكوين TaskAuthorizationProvider وتأكد من توجيه الطلبات من خلال AuthorizationRequestHandlerDecorator عبر ربط CDI بدلاً من استخدام المتجر الافتراضي بدون وسائط أو معالج تم إنشاؤه يدويًا.