CVE-2026-92217
ŚrednieCVSS 6.3Streszczenie
W a2ui-project a2ui do wersji 0.10.6 wykryto podatność w funkcji processMessages w pliku renderers/web_core/src/v0_9/processing/message-processor.ts w komponencie Message Parsing. Manipulacja prowadzi do dynamicznie określanych atrybutów obiektu. Atak można przeprowadzić zdalnie, a projekt nie odpowiedział jeszcze na zgłoszenie.
Ocena ryzyka
Może prowadzić do nieprzewidywalnego zachowania aplikacji lub potencjalnego wykonania niezamierzonych operacji na obiektach, co może zostać wykorzystane do dalszych ataków. Brak reakcji projektu oznacza brak oficjalnej poprawki.
Rekomendacja
Monitor the a2ui repository for updates and consider restricting processing of untrusted messages until a fix is released.
Inne podatności w a2ui
Zobacz wszystkie- CVE-2026-92216Średnie
W a2ui-project a2ui do wersji 0.10.7 wykryto podatność w funkcji openUrl w pliku renderers/web_core/src/v0_9/rendering/generic-binder.ts w komponencie Binder. Manipulacja prowadzi do otwartego przekierowania. Atak można przeprowadzić zdalnie, a projekt nie odpowiedział jeszcze na zgłoszenie.
- CVE-2026-92215Wysokie
W projekcie a2ui (do wersji 0.10.7) wykryto podatność w funkcji httpx.get w pliku file_resolver.py komponentu FileResolver. Manipulacja danymi wejściowymi prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a poprawka została oznaczona identyfikatorem 2bb8423060308bbdea8ba468dabed4fc256d18ea.
- CVE-2026-92214Niskie
W a2ui-project a2ui do wersji 0.10.7 wykryto lukę w nieznanej funkcji pliku samples/community/client/angular/projects/a2a-chat-canvas/src/lib/services/sanitizer-markdown-renderer-service.ts w komponencie a2a-chat-canvas. Manipulacja może prowadzić do cross site scripting (XSS). Atak może być przeprowadzony zdalnie.
- CVE-2026-92213Średnie
W a2ui-project a2ui do wersji 0.10.6 wykryto podatność w funkcji z.any w pliku renderers/web_core/src/v0_9/schema/server-to-client.ts w komponencie Angular Renderer. Manipulacja argumentem primaryColor prowadzi do wstrzyknięcia. Atak można przeprowadzić zdalnie. Poprawka została nazwana fb8e85aec78d04e81feb9992a57638ca1ec4dc1b i zaleca się jej zainstalowanie.
- CVE-2026-92114Średnie
W projekcie a2ui w wersji do 0.10.6 wykryto podatność w nieznanej funkcji pliku renderers/web_core/src/v0_9/basic_catalog/functions/safe_regex.ts w komponencie Basic Catalog. Manipulacja prowadzi do nieefektywnej złożoności wyrażeń regularnych, a atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in a2ui-project a2ui up to 0.10.6. This affects the function processMessages of the file renderers/web_core/src/v0_9/processing/message-processor.ts of the component Message Parsing. This manipulation causes dynamically-determined object attributes. The attack can be initiated remotely. The project was informed of the problem early through an issue report but has not responded yet.