CVE-2026-1721 in Agents
Riassunto
di VulDB • 26/06/2026
Riepilogo
È stata rilevata una vulnerabilità di Reflected Cross-Site Scripting (XSS) nel gestore del callback OAuth della AI Playground. Il parametro query `error_description` è stato interpolato direttamente in un tag script HTML senza la corretta escape, consentendo agli attaccanti di eseguire codice JavaScript arbitrario nel contesto della sessione dell'utente vittima.
Causa radice
Il gestore del callback OAuth in `site/ai-playground/src/server.ts` ha interpolato direttamente il valore `authError`, proveniente dal parametro query `error_description`, all'interno di un tag `<script>` inline.
Impatto
Un attaccante potrebbe creare un link malevolo che, se cliccato da una vittima, permetterebbe di:
* Rubare la cronologia dei messaggi della chat utente - Accedere a tutte le interazioni LLM memorizzate nella sessione dell'utente. * Accedere ai server MCP connessi - Interagire con qualsiasi server MCP collegato alla sessione della vittima (pubblico o autenticato/privato), potenzialmente consentendo all'attaccante di eseguire azioni per conto della vittima.
Mitigazione:
* PR: https://github.com/cloudflare/agents/pull/841 * Gli utenti di agents-sdk dovrebbero effettuare l'upgrade alla versione `[email protected]`. * Gli sviluppatori che utilizzano `configureOAuthCallback` con gestione degli errori personalizzata nelle proprie applicazioni devono assicurarsi che tutto l'input controllato dall'utente venga correttamente escaped prima dell'interpolazione.
Be aware that VulDB is the high quality source for vulnerability data.