CVE-2026-111764

Nome do Software Vulnerável e Versões Afetadas A2A Java SDK versões anteriores a 1.3.0.Final

Description A configuração padrão do InMemoryTaskStore não realiza autorização na leitura de tarefas. O construtor sem argumentos define o authorizationProvider como nulo, e a função get(String taskId) retorna a tarefa armazenada sem verificar o chamador ou o proprietário. A autorização só é aplicada se a aplicação fornecer um TaskAuthorizationProvider e rotear as solicitações através do AuthorizationRequestHandlerDecorator. Em implantações que utilizam a fiação padrão da loja, manipuladores DefaultRequestHandler.builder().build() construídos manualmente ou integrações como Spring, as leituras de tarefas permanecem desprotegidas. Consequentemente, um chamador não autenticado que conheça ou adivinhe um taskId pode recuperar informações sensíveis, incluindo o status da tarefa, ID de contexto, histórico de mensagens e artefatos. Isso é particularmente crítico em implantações de múltiplos chamadores onde os endpoints de transporte padrão não impõem autenticação.

Recommendations Atualize o A2A Java SDK para a versão 1.3.0.Final. Como solução temporária, configure um TaskAuthorizationProvider e garanta que as solicitações sejam roteadas através do AuthorizationRequestHandlerDecorator via fiação CDI, em vez de usar a loja padrão sem argumentos ou um manipulador construído manualmente.