CVE-2026-120237
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W bibliotece ag-ui-protocol ag-ui do wersji 0.0.58 wykryto podatność w funkcji isInterruptExpired pliku sdks/typescript/packages/client/src/interrupts/index.ts, w komponencie obsługi wygaśnięcia przerwań. Manipulacja prowadzi do nadmiernego zużycia zasobów. Atak można przeprowadzić zdalnie, a exploit został opublikowany.
Ocena ryzyka
Zdalny atakujący może wywołać nadmierne zużycie zasobów, co może prowadzić do odmowy usługi lub degradacji wydajności aplikacji. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizuj bibliotekę ag-ui do wersji zawierającej poprawkę, gdy tylko zostanie zaakceptowana, lub zastosuj obejście ograniczające zużycie zasobów. Monitoruj aplikację pod kątem nietypowego zużycia zasobów.
Inne podatności w ag-ui-protocol ag-ui
Zobacz wszystkie- CVE-2026-92362Wysokie
W ag-ui-protocol ag-ui w wersji 1.0 wykryto lukę w nieznanej funkcji pliku crates/ag-ui-client/src/sse.rs komponentu SSE Frame Parser. Manipulacja danymi prowadzi do nadmiernego zużycia zasobów, a atak można przeprowadzić zdalnie. Poprawka oczekuje na zatwierdzenie.
- CVE-2026-92359Niskie
W ag-ui-protocol ag-ui 0.3.0 odkryto lukę bezpieczeństwa w funkcji create_strands_app pliku integrations/aws-strands/python/src/ag_ui_strands/utils.py w komponencie CORSMiddleware. Manipulacja prowadzi do permisywnej polityki cross-domain z niezaufanymi domenami. Atak może być przeprowadzony zdalnie i wymaga wysokiego poziomu złożoności; trudność wykorzystania określono jako wysoką.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in ag-ui-protocol ag-ui up to 0.0.58. Affected by this issue is the function isInterruptExpired of the file sdks/typescript/packages/client/src/interrupts/index.ts of the component Interrupt expiry. This manipulation causes resource consumption. Remote exploitation of the attack is possible. The exploit has been published and may be used. The pull request to fix this issue awaits acceptance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS