CVE-2026-117507
ŚrednieCVSS 5.4Streszczenie
W bibliotece a2aproject a2a-java do wersji 1.2.0.Final wykryto podatność w funkcji TaskManager.saveTaskEvent. Manipulacja prowadzi do warunku wyścigu (race condition). Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0.Final naprawia ten problem (identyfikator łatki: 6b8e1e085c35e970ef0048901cd25850e4791ec2).
Ocena ryzyka
Warunek wyścigu może prowadzić do nieprzewidywalnego zachowania aplikacji, w tym do utraty danych lub nieprawidłowego stanu. Może być wykorzystany zdalnie do zakłócenia działania usługi.
Rekomendacja
Zaktualizuj a2a-java do wersji 1.3.0.Final lub nowszej. Zweryfikuj, czy łatka o podanym identyfikatorze została zastosowana.
Inne podatności w a2a-java
Zobacz wszystkie- CVE-2026-117506Średnie
W bibliotece a2aproject a2a-java do wersji 1.2.0.Final zidentyfikowano słabość w funkcji InMemoryPushNotificationConfigStore.setInfo pliku extras/push-notification-config-store-database-jpa/src/main/java/org/a2aproject/sdk/extras/pushnotificationconfigstore/database/jpa/JpaDatabasePushNotificationConfigStore.java (komponent Push Notification Config Store). Manipulacja może prowadzić do zużycia zasobów. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.3.0.Final łagodzi problem (łatka: b478810a03b4a16841d36aca5c6e87d8f48fce67).
- CVE-2026-117505Średnie
W bibliotece a2aproject a2a-java do wersji 1.2.0.Final odkryto podatność w funkcji queue.offer komponentu ChildQueue. Manipulacja prowadzi do zużycia zasobów. Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0.Final wystarcza do rozwiązania problemu (łatka: be663f806efcfdddd2805d214fae4998379ac5f2).
- CVE-2026-116479Średnie
W bibliotece a2a-java do wersji 1.2.0.Final wykryto podatność w funkcji getMessage komponentu JSON-RPC Error Handler. Manipulacja danymi powoduje ujawnienie informacji poprzez komunikaty błędów. Atak można przeprowadzić zdalnie, a poprawka dostępna jest w wersji 1.3.0.Final.
- CVE-2026-90820Średnie
Wykryto podatność w a2aproject a2a-java 1.2.0, w funkcji AuthorizationRequestHandlerDecorator.onListTasks, która prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.3.0 rozwiązuje problem.
- CVE-2026-90819Wysokie
Zidentyfikowano słabość w a2aproject a2a-java 1.2.0. Dotkniętym elementem jest funkcja BasePushNotificationSender.dispatchNotification w pliku server-common/src/main/java/org/a2aproject/sdk/server/tasks/BasePushNotificationSender.java komponentu Authorization Header Construction. Ta manipulacja powoduje rozdzielenie odpowiedzi HTTP (http response splitting). Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0 jest wystarczająca, aby naprawić ten problem. Nazwa poprawki: 247a655043f145f6f8e3853724b6a543eaa02001. Należy zaktualizować dotknięty komponent.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in a2aproject a2a-java up to 1.2.0.Final. This impacts the function TaskManager.saveTaskEvent. The manipulation leads to race condition. The attack may be initiated remotely. Upgrading to version 1.3.0.Final will fix this issue. The identifier of the patch is 6b8e1e085c35e970ef0048901cd25850e4791ec2. The affected component should be upgraded.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS