Veille sécuritéBackend & données
P4Moyenne
Avec les notifications push activées, le SDK A2A Java peut envoyer des données de tâche à une destination choisie par un appelant sans validation suffisante de l’adresse ni restriction des redirections. Selon le routage réseau, un attaquant non authentifié peut provoquer des requêtes vers des destinations locales ou internes.
Java
IdentifiantCVE-2026-111761
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.3.0.Final
Analyse technique
Le traitement des notifications push ne valide pas adéquatement la destination; les clients HTTP peuvent suivre les redirections.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date la publication du 2026-10-20 à 15:17:11Z, soit 17:17:11+02:00. L’avis GitHub associé est également daté du 2026-10-20.
ImpactDes requêtes peuvent être émises depuis le réseau du serveur vers des destinations internes ou locales.
Versions affectéesA2A Java SDK < 1.3.0.Final
Version corrigée1.3.0.Final
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.8
Publication2026-10-20T17:17:11.823+02:00
Mise à jour2026-10-20T21:55:49.343+02:00
Action recommandée
Mettre à niveau vers A2A Java SDK 1.3.0.Final ou une version ultérieure.
Sources
Priorisation DFS : P4 · 2 source(s).