CVE-2026-107858

Nome do Software Vulnerável e Versões Afetadas com.google.adk:google-adk-dev versões 0.1.0 a 1.12.0 com.google.adk:google-adk-maven-plugin versões 0.3.0 a 1.12.0

Description O servidor web de desenvolvimento (ADK Web) carece de validação de origem para WebSockets e implementa uma política de domínio cruzado permissiva. Isso permite que um invasor remoto controle um agente em execução localmente e acesse seus dados se um desenvolvedor visitar uma página web maliciosa enquanto o servidor estiver ativo. O endpoint WebSocket /run live aceita conexões de qualquer origem por padrão, e a API REST retorna um cabeçalho Access-Control-Allow-Origin permissivo. Como o servidor não possui autenticação, uma página de origem cruzada pode acionar ferramentas registradas, transmitir respostas e gerenciar sessões e artefatos. Este problema persiste mesmo quando vinculado ao localhost porque as solicitações originam-se do navegador do desenvolvedor.

Recommendations Atualize o com.google.adk:google-adk-dev para a versão 1.13.0 ou posterior. Atualize o com.google.adk:google-adk-maven-plugin para a versão 1.13.0 ou posterior. Para as versões 1.6.0 a 1.12.0, configure a propriedade adk.web.cors.origins para uma lista de permissões explícita de origens confiáveis.