CVE-2026-90820
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wykryto podatność w a2aproject a2a-java 1.2.0, w funkcji AuthorizationRequestHandlerDecorator.onListTasks, która prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.3.0 rozwiązuje problem.
Ocena ryzyka
Osoba atakująca może uzyskać dostęp do listy zadań bez odpowiednich uprawnień, co może naruszyć poufność danych.
Rekomendacja
Zaktualizuj komponent do wersji 1.3.0 lub nowszej, która zawiera poprawkę.
Inne podatności w a2a-java
Zobacz wszystkie- CVE-2026-117507Średnie
W bibliotece a2aproject a2a-java do wersji 1.2.0.Final wykryto podatność w funkcji TaskManager.saveTaskEvent. Manipulacja prowadzi do warunku wyścigu (race condition). Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0.Final naprawia ten problem (identyfikator łatki: 6b8e1e085c35e970ef0048901cd25850e4791ec2).
- CVE-2026-117506Średnie
W bibliotece a2aproject a2a-java do wersji 1.2.0.Final zidentyfikowano słabość w funkcji InMemoryPushNotificationConfigStore.setInfo pliku extras/push-notification-config-store-database-jpa/src/main/java/org/a2aproject/sdk/extras/pushnotificationconfigstore/database/jpa/JpaDatabasePushNotificationConfigStore.java (komponent Push Notification Config Store). Manipulacja może prowadzić do zużycia zasobów. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.3.0.Final łagodzi problem (łatka: b478810a03b4a16841d36aca5c6e87d8f48fce67).
- CVE-2026-117505Średnie
W bibliotece a2aproject a2a-java do wersji 1.2.0.Final odkryto podatność w funkcji queue.offer komponentu ChildQueue. Manipulacja prowadzi do zużycia zasobów. Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0.Final wystarcza do rozwiązania problemu (łatka: be663f806efcfdddd2805d214fae4998379ac5f2).
- CVE-2026-116479Średnie
W bibliotece a2a-java do wersji 1.2.0.Final wykryto podatność w funkcji getMessage komponentu JSON-RPC Error Handler. Manipulacja danymi powoduje ujawnienie informacji poprzez komunikaty błędów. Atak można przeprowadzić zdalnie, a poprawka dostępna jest w wersji 1.3.0.Final.
- CVE-2026-90819Wysokie
Zidentyfikowano słabość w a2aproject a2a-java 1.2.0. Dotkniętym elementem jest funkcja BasePushNotificationSender.dispatchNotification w pliku server-common/src/main/java/org/a2aproject/sdk/server/tasks/BasePushNotificationSender.java komponentu Authorization Header Construction. Ta manipulacja powoduje rozdzielenie odpowiedzi HTTP (http response splitting). Atak może być zainicjowany zdalnie. Aktualizacja do wersji 1.3.0 jest wystarczająca, aby naprawić ten problem. Nazwa poprawki: 247a655043f145f6f8e3853724b6a543eaa02001. Należy zaktualizować dotknięty komponent.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in a2aproject a2a-java 1.2.0. The impacted element is the function AuthorizationRequestHandlerDecorator.onListTasks of the file server-common/src/main/java/org/a2aproject/sdk/server/requesthandlers/AuthorizationRequestHandlerDecorator.java. Such manipulation leads to missing authorization. The attack can be launched remotely. Upgrading to version 1.3.0 is sufficient to resolve this issue. The name of the patch is e9a1abf9c90c02b16d17293afdc3cc2f555d63a6. The affected component should be upgraded.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS