‹ Volver al listado

CVE-2026-111762

Estado: RecibidaMedia (5.7)—
Gravedad5.7Media · CVSS 4.0
Probabilidad de explotación—en los próximos 30 días
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

A2A Java SDK es el SDK oficial de Java para el Protocolo Agent2Agent (A2A). Antes de la versión 1.3.0.Final, RestHandler.parseRequestBody en `transport/rest/src/main/java/org/a2aproject/sdk/transport/rest/handler/RestHandler.java` registra el cuerpo completo de la solicitud JSON en el nivel SEVERE cuando JsonFormat.parser().merge() lanza InvalidProtocolBufferException.

Leer descripción completaMostrar menos

Con las notificaciones push habilitadas, createTaskPushNotificationConfiguration envía a este analizador las solicitudes dirigidas a `/v1/tenants/{tenant}/tasks/{taskId}/pushNotificationConfigs`, cuyos campos token y authentication.credentials pueden contener tokens de portador y credenciales de autenticación para los endpoints de notificaciones push del cliente. Un cuerpo JSON válido que falla en la deserialización de protobuf, por ejemplo por un campo desconocido con análisis estricto o por una discrepancia de esquema, provoca que esos secretos se escriban en texto plano en los registros del servidor. Un atacante con acceso a los registros del servidor o a un sistema de agregación de registros puede obtener las credenciales y, potencialmente, utilizarlas para enviar actualizaciones de estado de tareas falsificadas al endpoint de notificaciones push del cliente. Este problema se ha corregido en la versión 1.3.0.Final.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.7
Versión
4.0
Vector
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

El vector CVSS es AV:L con UI:N, lo que da T1068; los tokens y credenciales de push se escriben en claro en los logs del servidor, según la descripción.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

User TrainingThreat Intelligence ProgramRestrict File and Directory PermissionsPassword PoliciesExecution PreventionAudit

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

A2aproject — A2A Java SDKAI

CWE

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-111762",
  "cveTags": [],
  "metrics": {
    "cvssMetricV40": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "Safety": "NOT_DEFINED",
          "version": "4.0",
          "Recovery": "NOT_DEFINED",
          "baseScore": 5.7,
          "Automatable": "NOT_DEFINED",
          "attackVector": "LOCAL",
          "baseSeverity": "MEDIUM",
          "valueDensity": "NOT_DEFINED",
          "vectorString": "CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X",
          "exploitMaturity": "NOT_DEFINED",
          "providerUrgency": "NOT_DEFINED",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "attackRequirements": "PRESENT",
          "privilegesRequired": "LOW",
          "subIntegrityImpact": "NONE",
          "vulnIntegrityImpact": "NONE",
          "integrityRequirement": "NOT_DEFINED",
          "modifiedAttackVector": "NOT_DEFINED",
          "subAvailabilityImpact": "NONE",
          "vulnAvailabilityImpact": "NONE",
          "availabilityRequirement": "NOT_DEFINED",
          "modifiedUserInteraction": "NOT_DEFINED",
          "modifiedAttackComplexity": "NOT_DEFINED",
          "subConfidentialityImpact": "NONE",
          "vulnConfidentialityImpact": "HIGH",
          "confidentialityRequirement": "NOT_DEFINED",
          "modifiedAttackRequirements": "NOT_DEFINED",
          "modifiedPrivilegesRequired": "NOT_DEFINED",
          "modifiedSubIntegrityImpact": "NOT_DEFINED",
          "modifiedVulnIntegrityImpact": "NOT_DEFINED",
          "vulnerabilityResponseEffort": "NOT_DEFINED",
          "modifiedSubAvailabilityImpact": "NOT_DEFINED",
          "modifiedVulnAvailabilityImpact": "NOT_DEFINED",
          "modifiedSubConfidentialityImpact": "NOT_DEFINED",
          "modifiedVulnConfidentialityImpact": "NOT_DEFINED"
        }
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "a2aproject",
          "product": "a2a-java",
          "versions": [
            {
              "status": "affected",
              "version": "< 1.3.0.Final"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T15:17:13.210",
  "references": [
    {
      "url": "https://github.com/a2aproject/a2a-java/commit/88827105fee0daaac0d883a4a68eb644571d7230",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/a2aproject/a2a-java/releases/tag/v1.3.0.Final",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/a2aproject/a2a-java/security/advisories/GHSA-x32g-jvvm-4725",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Received",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-532"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "A2A Java SDK is the official Java SDK for the Agent2Agent (A2A) Protocol. Prior to 1.3.0.Final, RestHandler.parseRequestBody in `transport/rest/src/main/java/org/a2aproject/sdk/transport/rest/handler/RestHandler.java` logs the entire JSON request body at SEVERE level when JsonFormat.parser().merge() throws InvalidProtocolBufferException. With push notifications enabled, createTaskPushNotificationConfiguration reaches this parser for requests to `/v1/tenants/{tenant}/tasks/{taskId}/pushNotificationConfigs`, whose token and authentication.credentials fields can contain bearer tokens and authentication credentials for client push endpoints. A valid JSON body that fails protobuf deserialization, including an unknown field under strict parsing or a schema mismatch, causes those secrets to be written to the server logs in cleartext. An attacker with access to the server logs or a log aggregation system can retrieve the credentials and potentially use the credentials to send forged task status updates to the client's push notification endpoint. This issue is fixed in version 1.3.0.Final."
    }
  ],
  "lastModified": "2026-10-20T15:17:13.210",
  "sourceIdentifier": "security-advisories@github.com"
}