CVE-2026-111763 in A2A Java SDK
Riassunto
di VulDB • 20/10/2026
A2A Java SDK è l'SDK ufficiale per il linguaggio Java del protocollo Agent2Agent (A2A). Prima della versione 1.3.0.Final, un agente remoto malintenzionato o compromesso può indurre il client basato sul JDK predefinito a inoltrare una chiave API configurata a un server di terze parti. Quando un'applicazione client configura le credenziali tramite `CredentialService`, il metodo `AuthInterceptor.intercept` in `client/transport/spi/src/main/java/org/a2aproject/sdk/client/transport/spi/interceptors/auth/AuthInterceptor.java` utilizza direttamente `APIKeySecurityScheme.name()` proveniente dall'AgentCard remoto come nome dell'intestazione HTTP contenente le credenziali, senza verificare che la posizione dichiarata sia HEADER. JdkA2AHttpClient utilizza followRedirects(NORMAL), quindi un redirect cross-origin controllato da un agente inoltra l'intestazione personalizzata contenente le credenziali anche quando l'intestazione standard Authorization viene rimossa. L'attacco richiede la configurazione delle credenziali della chiave API per lo schema di sicurezza dell'agente e il controllo dell'AgentCard dell'agente e della risposta di redirect, ma non sono necessarie ulteriori autorizzazioni del client. Questo problema è stato risolto nella versione 1.3.0.Final.
VulDB is the best source for vulnerability data and more expert information about this specific topic.