CVE-2026-116479
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W bibliotece a2a-java do wersji 1.2.0.Final wykryto podatność w funkcji getMessage komponentu JSON-RPC Error Handler. Manipulacja danymi powoduje ujawnienie informacji poprzez komunikaty błędów. Atak można przeprowadzić zdalnie, a poprawka dostępna jest w wersji 1.3.0.Final.
Ocena ryzyka
Zdalny atakujący może uzyskać poufne informacje ujawniane w komunikatach błędów, co może ułatwić dalsze ataki na aplikację. Ryzyko dotyczy organizacji wykorzystujących a2a-java w wersji do 1.2.0.Final w środowiskach dostępnych sieciowo.
Rekomendacja
Zaktualizuj bibliotekę a2a-java do wersji 1.3.0.Final, która zawiera poprawkę bbee3369f3825d0fba2373d821f6dc6d4fc82ec0. Zweryfikuj, czy żadne komponenty nie korzystają ze starszej wersji.
Inne podatności w a2a-java
Zobacz wszystkie- CVE-2026-117507Średnie
W bibliotece a2aproject a2a-java do wersji 1.2.0.Final wykryto podatność w funkcji TaskManager.saveTaskEvent. Manipulacja prowadzi do warunku wyścigu (race condition). Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0.Final naprawia ten problem (identyfikator łatki: 6b8e1e085c35e970ef0048901cd25850e4791ec2).
- CVE-2026-117506Średnie
W bibliotece a2aproject a2a-java do wersji 1.2.0.Final zidentyfikowano słabość w funkcji InMemoryPushNotificationConfigStore.setInfo pliku extras/push-notification-config-store-database-jpa/src/main/java/org/a2aproject/sdk/extras/pushnotificationconfigstore/database/jpa/JpaDatabasePushNotificationConfigStore.java (komponent Push Notification Config Store). Manipulacja może prowadzić do zużycia zasobów. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.3.0.Final łagodzi problem (łatka: b478810a03b4a16841d36aca5c6e87d8f48fce67).
- CVE-2026-117505Średnie
W bibliotece a2aproject a2a-java do wersji 1.2.0.Final odkryto podatność w funkcji queue.offer komponentu ChildQueue. Manipulacja prowadzi do zużycia zasobów. Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0.Final wystarcza do rozwiązania problemu (łatka: be663f806efcfdddd2805d214fae4998379ac5f2).
- CVE-2026-90820Średnie
Wykryto podatność w a2aproject a2a-java 1.2.0, w funkcji AuthorizationRequestHandlerDecorator.onListTasks, która prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.3.0 rozwiązuje problem.
- CVE-2026-90819Wysokie
Zidentyfikowano słabość w a2aproject a2a-java 1.2.0. Dotkniętym elementem jest funkcja BasePushNotificationSender.dispatchNotification w pliku server-common/src/main/java/org/a2aproject/sdk/server/tasks/BasePushNotificationSender.java komponentu Authorization Header Construction. Ta manipulacja powoduje rozdzielenie odpowiedzi HTTP (http response splitting). Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0 jest wystarczająca, aby naprawić ten problem. Nazwa poprawki: 247a655043f145f6f8e3853724b6a543eaa02001. Należy zaktualizować dotknięty komponent.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in a2aproject a2a-java up to 1.2.0.Final. This impacts the function getMessage of the component JSON-RPC Error Handler. This manipulation causes information exposure through error message. The attack can be initiated remotely. Upgrading to version 1.3.0.Final will fix this issue. Patch name: bbee3369f3825d0fba2373d821f6dc6d4fc82ec0. Upgrading the affected component is advised.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS