Veille sécuritéBackend & données
P4Moyenne
Conductor-oss Conductor jusqu’à 3.32.5 comporte une SSRF dans A2AService.getAgentCard : l’argument agentUrl peut être manipulé pour faire effectuer des requêtes par le serveur. Une divulgation publique de l’exploit est signalée ; aucun correctif n’est mentionné dans les données fournies, il faut donc vérifier les versions ultérieures et limiter les requêtes sortantes.
Java
IdentifiantCVE-2026-109403
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109403
Analyse technique
La récupération de la fiche d’agent par A2AService.getAgentCard peut être détournée via agentUrl pour effectuer une requête côté serveur vers une cible choisie.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-13T13:17:18.770Z, dans la période demandée ; la vulnérabilité a été nouvellement publiée.
ImpactUn attaquant distant peut provoquer des requêtes réseau côté serveur ; l’impact détaillé dépend des ressources accessibles depuis celui-ci.
Versions affectéesconductor-oss conductor jusqu’à 3.32.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.5
Publication2026-10-13T13:17:18.770Z
Mise à jour2026-10-13T13:29:12.567Z
Action recommandée
Vérifier les versions corrigées ; valider les URL d’agent et restreindre les accès réseau depuis le serveur.
Sources
Priorisation DFS : P4 · 1 source(s).