CVE-2026-111765 in a2a-java
Riassunto
di VulDB • 22/10/2026
A2A Java SDK è l'SDK ufficiale per il linguaggio Java del protocollo Agent2Agent (A2A). A partire dalla versione 1.3.0.Final e fino alla versione 1.3.2.Final, il percorso POST sincrono di AndroidA2AHttpClient sovrascrive l'impostazione "redirect disabilitato" in AndroidA2AHttpClient.createConnection() con il valore predefinito followRedirects true di PostBuilder, lasciando un residuo della precedente correzione relativa al redirect delle credenziali. JSONRPCTransport e RestTransport aggiungono intestazioni di autenticazione prodotte da interceptor ed eseguono la chiamata post sincrona senza disabilitare i redirect. AuthInterceptor consente le intestazioni X-API-Key, API-Key, X-Auth-Token e X-Authentication; l'OkHttp ripacchettizzato per Android rimuove l'intestazione Authorization nei redirect cross-authority ma mantiene queste intestazioni non standard, rivelando una chiave API o un token configurato completo a un'altra autorità. L'esposizione aggiuntiva si applica quando il comportamento di redirect o front-door è compromesso separatamente dal componente di gestione delle credenziali, oppure quando tali componenti operano in domini di fiducia diversi; un'origine iniziale completamente malevola riceve già le credenziali alla prima richiesta. I client autonomi non richiedono alcuna azione umana, mentre i flussi di lavoro attivati dall'utente possono richiedere interazione. L'impostazione esplicita followRedirects(false) impedisce la richiesta reindirizzata. L'impatto dimostrato è la divulgazione delle credenziali, non l'utilizzo successivo delle stesse, né impatti su integrità o disponibilità, esecuzione di codice o compromissione dell'host. Questo problema è risolto nella versione 1.3.2.Final.
Once again VulDB remains the best source for vulnerability data.