PT-2026-118420 · Unknown · A2A Java Sdk

CVE-2026-111765

·

تاريخ النشر

2026-10-20

·

تاريخ التحديث

2026-10-20

CVSS v3.1

7.5

عالية

المتجهAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة A2A Java SDK الإصدارات من 1.3.0.Final إلى 1.3.1.Final
Description يقوم مسار POST المتزامن في AndroidA2AHttpClient بتجاوز إعداد تعطيل إعادة التوجيه في AndroidA2AHttpClient.createConnection() بشكل خاطئ باستخدام قيمة followRedirects افتراضية تبلغ true. يحدث هذا لأن دالة post() تطبق متغير followRedirects بعد إنشاء الاتصال، مما يؤدي فعلياً إلى تفعيل إعادة التوجيه.
عندما يقوم JSONRPCTransport و RestTransport باستدعاء طريقة post() المتزامنة دون تعطيل إعادة التوجيه صراحةً، قد يقوم AuthInterceptor بإضافة رؤوس مصادقة. وبينما تقوم نسخة OkHttp المعاد حزمتها في Android بإزالة رأس Authorization القياسي أثناء عمليات إعادة التوجيه عبر السلطات، فإنها تحتفظ بالرؤوس غير القياسية. يمكن أن يؤدي ذلك إلى الكشف عن مفتاح API أو رمز مصادقة كامل لسلطة خارجية إذا تم استخدام الرؤوس التالية:
  • X-API-Key
  • API-Key
  • X-Auth-Token
  • X-Authentication
Recommendations تحديث A2A Java SDK إلى الإصدار 1.3.2.Final. كإجراء مؤقت، قم باستدعاء followRedirects(false) صراحةً لمنع طلبات إعادة التوجيه.

إصلاح

Insufficiently Protected Credentials

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-522

المعرّفات ذات الصلة

CVE-2026-111765
GHSA-4FPJ-G9JF-9RGG

المنتجات المتأثرة

A2A Java Sdk