Veille sécuritéBackend & données
P3Élevée
Dans la configuration par défaut du magasin de tâches A2A Java, la lecture d’une tâche ne vérifie pas que l’appelant est autorisé à y accéder. Dans un déploiement multi-appelants, la connaissance ou la découverte de l’identifiant d’une tâche peut permettre de consulter son état, son historique et ses artefacts.
Java
IdentifiantCVE-2026-111764
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.3.0.Final
Analyse technique
Le magasin en mémoire n’effectue pas de contrôle d’autorisation par défaut; une protection dépend de la configuration d’un fournisseur et du décorateur d’autorisation.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date la publication du 2026-10-20 à 16:17:00Z, soit 18:17:00+02:00. L’avis GitHub associé est daté du 2026-10-20.
ImpactUn appelant peut accéder aux données de tâches appartenant à d’autres appelants.
Versions affectéesA2A Java SDK < 1.3.0.Final
Version corrigée1.3.0.Final
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-20T18:17:00.690+02:00
Mise à jour2026-10-20T21:56:45.543+02:00
Action recommandée
Mettre à niveau vers A2A Java SDK 1.3.0.Final ou une version ultérieure; vérifier que l’autorisation des tâches est effectivement activée.
Sources
Priorisation DFS : P3 · 2 source(s).