CVE-2026-111765

Nome do Software Vulnerável e Versões Afetadas A2A Java SDK versões 1.3.0.Final até 1.3.1.Final

Description O caminho de POST síncrono do AndroidA2AHttpClient substitui incorretamente a configuração de redirecionamento desativada em AndroidA2AHttpClient.createConnection() com um valor padrão de followRedirects como true. Isso ocorre porque a função post() aplica a variável followRedirects após a criação da conexão, ativando efetivamente os redirecionamentos.

Quando o JSONRPCTransport e o RestTransport chamam o método post() síncrono sem desativar explicitamente os redirecionamentos, o AuthInterceptor pode adicionar cabeçalhos de autenticação. Embora a implementação do OkHttp reimplementada do Android remova o cabeçalho Authorization padrão durante redirecionamentos entre autoridades, ela mantém cabeçalhos não padronizados. Isso pode levar à divulgação de uma chave de API ou token completo para uma autoridade externa se os seguintes cabeçalhos forem utilizados:

Recommendations Atualize o A2A Java SDK para a versão 1.3.2.Final. Como solução temporária, chame explicitamente followRedirects(false) para evitar requisições redirecionadas.