CVE-2026-111762

A2A Java SDK, Agent2Agent (A2A) Protokolu üçün rəsmi Java SDK-dır. 1.3.0.Final versiyasından əvvəl, `transport/rest/src/main/java/org/a2aproject/sdk/transport/rest/handler/RestHandler.java` faylındakı RestHandler.parseRequestBody funksiyası, JsonFormat.parser().merge() metodu InvalidProtocolBufferException xətası verdikdə bütün JSON sorğu gövdəsini SEVERE səviyyəsində loqlayır. Push bildirişlər aktiv olduqda, `/v1/tenants/{tenant}/tasks/{taskId}/pushNotificationConfigs` ünvanına göndərilən sorğular üçün createTaskPushNotificationConfiguration bu parser-ə çatır və həmin sorğuların token və authentication.credentials sahələri müştəri push son nöqtələri üçün bearer tokenləri və autentifikasiya məlumatlarını ehtiva edə bilər. Protobuf deserializasiyasında uğursuz olan düzgün JSON gövdəsi (məsələn, ciddi analiz zamanı naməlum sahənin olması və ya sxem uyğunsuzluğu), həmin gizli məlumatların server loqlarına açıq şəkildə yazılmasına səbəb olur. Server loqlarına və ya loq aqreqasiya sisteminə giriş imkanı olan hücumçu bu məlumatları əldə edə və potensial olaraq onlardan istifadə edərək müştərinin push bildiriş son nöqtəsinə saxtalaşdırılmış tapşırıq status yeniləmələri göndərə bilər. Bu problem 1.3.0.Final versiyasında aradan qaldırılıb.