Veille sécuritéBackend & données
P3Élevée
Dans le composant serveur A2A de Strands Agents SDK pour Python avant 1.43.0, des appelants authentifiés peuvent accéder à l’historique de conversation d’autres tenants et y ajouter des instructions persistantes. Ces instructions peuvent modifier le comportement du modèle lors des appels ultérieurs d’autres utilisateurs.
PythonTypeScript
IdentifiantCVE-2026-115419
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.43.0
Source : CVE-2026-115419 — NVD
Analyse technique
Le défaut concerne l’isolation de l’état des conversations entre appelants du serveur A2A, via des requêtes HTTP utilisant un context_id différent.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-10-22 à 21:17:17 UTC, soit le 2026-10-22 à 23:17:17 +02:00, dans la période retenue.
ImpactUn utilisateur distant authentifié peut lire des conversations d’autres tenants et influencer les réponses ultérieures du modèle.
Versions affectéesAmazon Strands Agents SDK pour Python avant 1.43.0
Version corrigée1.43.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.6
Publication2026-10-22T23:17:17.790+02:00
Mise à jour2026-10-23T17:17:17.303Z
Action recommandée
Mettre à niveau le paquet strands-agents vers la version 1.43.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).