CVE-2026-111762

Nome do Software Vulnerável e Versões Afetadas A2A Java SDK versões anteriores a 1.3.0.Final

Description A função parseRequestBody() no arquivo RestHandler.java registra todo o corpo da requisição JSON em nível SEVERE quando JsonFormat.parser().merge() lança uma InvalidProtocolBufferException. Isso ocorre quando o corpo de uma requisição é um JSON válido, mas falha na desserialização protobuf devido a incompatibilidades de esquema ou campos desconhecidos sob análise rigorosa. Quando as notificações push estão habilitadas, as requisições para o endpoint /v1/tenants/{tenant}/tasks/{taskId}/pushNotificationConfigs podem conter informações sensíveis nas variáveis token e authentication.credentials. Consequentemente, esses tokens de portador e credenciais de autenticação são gravados nos logs do servidor em texto simples, permitindo que um invasor com acesso aos logs os recupere e potencialmente envie atualizações de status de tarefa forjadas para os endpoints de notificação push do cliente.

Recommendations Atualize o A2A Java SDK para a versão 1.3.0.Final. Como medida de mitigação temporária, restrinja o acesso aos arquivos de log do servidor e aos sistemas de agregação de logs para evitar a recuperação não autorizada de credenciais.