Veille sécuritéBackend & données
P3Élevée
Dans les versions Android du SDK A2A Java allant de 1.3.0.Final à 1.3.1.Final, le chemin POST synchrone peut suivre des redirections malgré le réglage destiné à les désactiver. Des en-têtes d’authentification personnalisés peuvent alors être transmis à une autre autorité.
Java
IdentifiantCVE-2026-111765
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.3.2.Final
Source : GHSA-4fpj-g9jf-9rgg — A2A Java SDK
Analyse technique
Le POST synchrone réactive le suivi des redirections; certains en-têtes non standard contenant des identifiants ne sont pas supprimés lors d’une redirection inter-autorités.
Impact, versions et correctif
Événement datéLa fiche NVD fournie date la publication du 2026-10-20 à 16:17:00Z, soit 18:17:00+02:00, dans la période demandée.
ImpactUn jeton ou une clé API peut être divulgué à une autre autorité.
Versions affectéesA2A Java SDK Android >= 1.3.0.Final et < 1.3.2.Final
Version corrigée1.3.2.Final
ContournementDésactiver explicitement les redirections avec followRedirects(false).
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-20T18:17:00.830+02:00
Mise à jour2026-10-20T21:48:50.250+02:00
Action recommandée
Mettre à niveau vers A2A Java SDK 1.3.2.Final ou une version ultérieure.
Sources
Priorisation DFS : P3 · 2 source(s).