CVE-2026-92216
ŚrednieCVSS 4.3Streszczenie
W a2ui-project a2ui do wersji 0.10.7 wykryto podatność w funkcji openUrl w pliku renderers/web_core/src/v0_9/rendering/generic-binder.ts w komponencie Binder. Manipulacja prowadzi do otwartego przekierowania. Atak można przeprowadzić zdalnie, a projekt nie odpowiedział jeszcze na zgłoszenie.
Ocena ryzyka
Otwarte przekierowanie może być wykorzystane do phishingu i przekierowywania użytkowników na złośliwe strony, co może prowadzić do kradzieży danych uwierzytelniających. Brak reakcji projektu oznacza brak oficjalnej poprawki.
Rekomendacja
Monitor the a2ui repository for updates and consider validating URLs passed to the openUrl function until a fix is released.
Inne podatności w a2ui
Zobacz wszystkie- CVE-2026-92217Średnie
W a2ui-project a2ui do wersji 0.10.6 wykryto podatność w funkcji processMessages w pliku renderers/web_core/src/v0_9/processing/message-processor.ts w komponencie Message Parsing. Manipulacja prowadzi do dynamicznie określanych atrybutów obiektu. Atak można przeprowadzić zdalnie, a projekt nie odpowiedział jeszcze na zgłoszenie.
- CVE-2026-92215Wysokie
W projekcie a2ui (do wersji 0.10.7) wykryto podatność w funkcji httpx.get w pliku file_resolver.py komponentu FileResolver. Manipulacja danymi wejściowymi prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a poprawka została oznaczona identyfikatorem 2bb8423060308bbdea8ba468dabed4fc256d18ea.
- CVE-2026-92214Niskie
W a2ui-project a2ui do wersji 0.10.7 wykryto lukę w nieznanej funkcji pliku samples/community/client/angular/projects/a2a-chat-canvas/src/lib/services/sanitizer-markdown-renderer-service.ts w komponencie a2a-chat-canvas. Manipulacja może prowadzić do cross site scripting (XSS). Atak może być przeprowadzony zdalnie.
- CVE-2026-92213Średnie
W a2ui-project a2ui do wersji 0.10.6 wykryto podatność w funkcji z.any w pliku renderers/web_core/src/v0_9/schema/server-to-client.ts w komponencie Angular Renderer. Manipulacja argumentem primaryColor prowadzi do wstrzyknięcia. Atak można przeprowadzić zdalnie. Poprawka została nazwana fb8e85aec78d04e81feb9992a57638ca1ec4dc1b i zaleca się jej zainstalowanie.
- CVE-2026-92114Średnie
W projekcie a2ui w wersji do 0.10.6 wykryto podatność w nieznanej funkcji pliku renderers/web_core/src/v0_9/basic_catalog/functions/safe_regex.ts w komponencie Basic Catalog. Manipulacja prowadzi do nieefektywnej złożoności wyrażeń regularnych, a atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in a2ui-project a2ui up to 0.10.7. Affected by this issue is the function openUrl of the file renderers/web_core/src/v0_9/rendering/generic-binder.ts of the component Binder. The manipulation results in open redirect. It is possible to launch the attack remotely. The project was informed of the problem early through an issue report but has not responded yet.