CVE-2026-115522 in Agent Development Kit for Python
Riassunto
di VulDB • 28/10/2026
Esposizione di risorse a una sfera errata (CWE-668) in FileArtifactService all'interno del Google Agent Development Kit (ADK) for Python (google-adk), nelle versioni 1.19.0 precedenti alla 1.39.1 e nella versione 2.0.0a1 precedente alla 2.7.0, consente a un chiamante appartenente a una determinata applicazione di elencare, leggere, sovrascrivere o eliminare artefatti appartenenti ad altre applicazioni quando entrambe le applicazioni condividono la stessa directory radice (root) del FileArtifactService e utilizzano lo stesso user_id (e session_id per gli artefatti con ambito sessione). FileArtifactService accettava il parametro app_name nei metodi della sua API pubblica, ma ometteva tale parametro durante la costruzione dei percorsi su disco (utilizzando root/users/{user_id}/... anziché root/apps/{app_name}/users/{user_id}/...). La versione 2.6.0 ha limitato le operazioni di scrittura in base al nome dell'applicazione (app_name), mantenendo però un fallback legacy per le operazioni di lettura e cancellazione basato sul percorso root/users/{user_id}; la versione 2.7.0, insieme alla backport della serie 1.x nella versione 1.39.1, ha rimosso tale fallback ed è stata introdotta una limitazione completa dei percorsi basata sull'applicazione (per-app path scoping).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.