PT-2026-32287 · Google · Agent Development Kit

Yoshizawa · CVE-2026-4810 · Publicado 2026-04-13 · Atualizado 2026-06-29

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Amber

Name of the Vulnerable Software and Affected Versions Google Agent Development Kit versões 1.7.0 até 1.28.0 Google Agent Development Kit versões 2.0.0a1 até 2.0.0a1

Description Problemas de Injeção de Código e Falta de Autenticação no Google Agent Development Kit (ADK) em Python (OSS), Cloud Run e GKE permitem que um invasor remoto não autenticado execute código arbitrário no servidor que hospeda a instância do ADK. Detalhes técnicos indicam que o problema pode envolver o endpoint '/builder/save', que poderia permitir salvar e, posteriormente, executar scripts arbitrários no servidor.

Recommendations Atualizar para a versão 1.28.1 e implantar novamente nos ambientes de produção, incluindo instâncias locais do ADK Web. Atualizar para a versão 2.0.0a2 e implantar novamente nos ambientes de produção, incluindo instâncias locais do ADK Web.

Correção

RCE

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-4810

GHSA-RG7C-G689-FR3X

PYSEC-2026-344

Produtos afetados

Agent Development Kit

Referências · 15

• https://github.com/google/adk-python/blob/main/CHANGELOG.md#1274-2026-03-26 · Nota
• https://github.com/google/adk-python · Nota
• https://osv.dev/vulnerability/PYSEC-2026-344 · Aviso do Fabricante
• https://github.com/advisories/GHSA-rg7c-g689-fr3x · Nota
• https://twitter.com/pulsepatchio/status/2044250691015688386 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-4810 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2043686092973523095 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2043621368890052620 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/2044044752862277837 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-4810 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/2043626005890220490 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2043733059263193458 · Publicação no Twitter
• https://reddit.com/r/agentdevelopmentkit/comments/1snmrc7/any_information_about_cve20264810_adkpython · Publicação no Reddit
• https://pypi.org/project/google-adk · Nota
• https://osv.dev/vulnerability/GHSA-rg7c-g689-fr3x · Aviso do Fabricante