Veille sécuritéBackend & données
P4Moyenne
Le client JDK du SDK A2A Java peut placer une clé API dans un en-tête dont le nom est fourni par la fiche AgentCard distante, sans vérifier que l’emplacement déclaré est bien un en-tête. Avec les redirections suivies par le client, un agent malveillant ou compromis peut faire transférer la clé vers un serveur tiers.
Java
IdentifiantCVE-2026-111763
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.3.0.Final
Analyse technique
L’en-tête contenant l’identifiant est contrôlé par la fiche distante; les redirections inter-origines peuvent transmettre cet en-tête personnalisé.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date la publication du 2026-10-20 à 16:17:00Z, soit 18:17:00+02:00. L’avis GitHub associé est daté du 2026-10-20.
ImpactLa clé API configurée peut être divulguée à un serveur tiers.
Versions affectéesA2A Java SDK < 1.3.0.Final
Version corrigée1.3.0.Final
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.7
Publication2026-10-20T18:17:00.550+02:00
Mise à jour2026-10-20T21:48:50.250+02:00
Action recommandée
Mettre à niveau vers A2A Java SDK 1.3.0.Final ou une version ultérieure.
Sources
Priorisation DFS : P4 · 2 source(s).