CVE-2026-107858 : contrôle cross-origin du serveur de développement ADK Web pour Java

Veille sécuritéBackend & données

P3Élevée

Une validation insuffisante des origines dans le serveur de développement ADK Web pour Java permettait à une page malveillante visitée par un développeur de contrôler un agent local sans authentification et d’accéder à ses données. La faille est corrigée en version 1.13.0, qui applique une politique same-origin par défaut aux requêtes CORS et à l’endpoint WebSocket /run_live.

IdentifiantCVE-2026-107858

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.13.0

Source : NVD — CVE-2026-107858

Analyse technique

Le serveur de développement n’imposait pas de validation d’origine suffisante pour les connexions WebSocket et les requêtes cross-origin. Une page malveillante pouvait envoyer des messages à l’agent et accéder aux sessions et artefacts. La version 1.13.0 rejette également les requêtes de rebinding DNS via loopback.

Impact, versions et correctif

Événement datéRetenu comme nouvelle vulnérabilité : la source indique une publication le 2026-10-23 à 06:17:03.733Z, soit pendant la période figée (+02:00).

ImpactUn site malveillant visité par un développeur peut interagir avec l’agent local, déclencher ses outils et lire ou modifier des sessions et artefacts.

Versions affectéescom.google.adk:google-adk-dev : versions 0.1.0 antérieures à 1.13.0 ; com.google.adk:google-adk-maven-plugin : versions 0.3.0 antérieures à 1.13.0.

Version corrigée1.13.0

ContournementPour les versions 1.6.0 à 1.12.0, configurer adk.web.cors.origins avec une liste explicite d’origines de confiance.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,36% · percentile 28,6%

Publication2026-10-23T06:17:03.733Z

Mise à jour2026-10-23T19:42:24.553Z

Action recommandée

Mettre à niveau les composants ADK Java concernés vers la version 1.13.0 ou une version ultérieure.

Sources

NVD — CVE-2026-107858

Priorisation DFS : P3 · 1 source(s).