Veille sécuritéBackend & données
P4Moyenne
En cas d’échec de désérialisation protobuf d’une requête, le gestionnaire REST du SDK A2A Java journalise le corps JSON complet. Si les champs concernés contiennent des jetons ou identifiants de notification push, ceux-ci peuvent se retrouver en clair dans les journaux.
Java
IdentifiantCVE-2026-111762
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.3.0.Final
Source : GHSA-x32g-jvvm-4725 — A2A Java SDK
Analyse technique
La journalisation au niveau SEVERE inclut le corps de requête lorsque le parseur JSON/protobuf échoue.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date la publication du 2026-10-20 à 15:17:13Z, soit 17:17:13+02:00, dans la période demandée.
ImpactDes personnes ayant accès aux journaux peuvent récupérer des identifiants et potentiellement les utiliser pour envoyer de fausses mises à jour.
Versions affectéesA2A Java SDK < 1.3.0.Final
Version corrigée1.3.0.Final
ContournementÉviter l’accès non autorisé aux journaux et, si possible, ne pas y consigner de corps de requête contenant des secrets.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.7
Publication2026-10-20T17:17:13.210+02:00
Mise à jour2026-10-20T21:55:49.343+02:00
Action recommandée
Mettre à niveau vers A2A Java SDK 1.3.0.Final ou une version ultérieure; restreindre l’accès aux journaux contenant potentiellement des données sensibles.
Sources
Priorisation DFS : P4 · 2 source(s).