Veille sécuritéBackend & données
P4Moyenne
Le FileArtifactService de Google ADK pour Python ne cloisonnait pas correctement les chemins d’artefacts par application lorsque plusieurs applications partageaient une racine et un identifiant utilisateur. Un utilisateur pouvait alors lister, lire, écraser ou supprimer les artefacts d’une autre application ; installez une version corrigée.
Python
IdentifiantCVE-2026-115522
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.39.1 et 2.7.0
Source : NVD — CVE-2026-115522
Analyse technique
La version 2.6.0 avait déjà limité les écritures par application, mais conservait un repli historique pour les lectures et suppressions ; les correctifs indiqués retirent ce repli et appliquent le cloisonnement complet.
Impact, versions et correctif
Événement datéLa vulnérabilité a été publiée le 2026-10-28 à 05:16:59Z, dans la période demandée ; la fiche a également été mise à jour le 2026-10-28 à 15:21:31Z.
ImpactAccès inter-applications aux artefacts : lecture, liste, écrasement ou suppression.
Versions affectéesgoogle-adk 1.19.0 à avant 1.39.1, et 2.0.0a1 à avant 2.7.0.
Version corrigée1.39.1 et 2.7.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,38% · percentile 31,6%
Publication2026-10-28T05:16:59.833Z
Mise à jour2026-10-28T15:21:31.673Z
Action recommandée
Mettre à niveau vers google-adk 1.39.1 ou 2.7.0 selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).