CVE-2026-113707
ŚrednieCVSS 5.4Streszczenie
W a2aproject a2a-rs do wersji 0.4.4 wykryto lukę w zabezpieczeniach w funkcji InMemoryTaskStore::update w pliku a2a-server/src/task_store/inmemory.rs. Manipulacja prowadzi do sytuacji wyścigu (race condition), a atak może być przeprowadzony zdalnie. Poprawka została zidentyfikowana jako 7050c7d329238539424ee46440e23b91c4825bee.
Ocena ryzyka
Sytuacja wyścigu może prowadzić do niespójnego stanu magazynu zadań i nieprzewidywalnego zachowania aplikacji, co może być wykorzystane do zakłócenia działania usługi. Organizacje korzystające z a2a-rs są narażone na zdalne ataki destabilizujące.
Rekomendacja
Zastosuj poprawkę 7050c7d329238539424ee46440e23b91c4825bee lub zaktualizuj a2a-rs do wersji zawierającej tę poprawkę. Wdrożenie poprawki jest zalecane w celu usunięcia problemu.
Inne podatności w a2a-rs
Zobacz wszystkie- CVE-2026-113706Niskie
W projekcie a2aproject a2a-rs do wersji 0.4.3 zidentyfikowano podatność w nieznanej funkcji pliku a2a-server/src/task_store/inmemory.rs. Manipulacja argumentem historyLength prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie; poprawka ma identyfikator 68f1b7e772ae5d6c9e581ac9b48bcddd10fe70eb.
- CVE-2026-113705Średnie
W a2aproject a2a-rs do wersji 0.4.3 wykryto podatność dotyczącą nieokreślonego przetwarzania w pliku a2a-server/src/error.rs. Manipulacja może prowadzić do ujawnienia informacji poprzez komunikaty błędów, a atak można przeprowadzić zdalnie. Poprawka nosi oznaczenie 713b943af94ab2d521d483b841618b97a2e78a4d.
- CVE-2026-113704Wysokie
W a2aproject a2a-rs do wersji 0.4.3 funkcja HttpPushSender w pliku crates/server/src/push_notification_sender.rs (komponent Push Notification Handler) umożliwia manipulację argumentem TaskPushNotificationConfig prowadzącą do podatności SSRF. Atak może być przeprowadzony zdalnie, a poprawka została dostarczona w commicie 2ba50176ea9f222d9a7d0f0e8cfe6fae7cf4c224.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in a2aproject a2a-rs up to 0.4.4. The affected element is the function InMemoryTaskStore::update of the file a2a-server/src/task_store/inmemory.rs. The manipulation results in race condition. The attack may be performed from remote. The patch is identified as 7050c7d329238539424ee46440e23b91c4825bee. It is advisable to implement a patch to correct this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS