PT-2026-32287 · Google · Agent Development Kit
Yoshizawa
·
Publicado
2026-04-13
·
Atualizado
2026-04-17
·
CVE-2026-4810
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P/U:Amber |
Name of the Vulnerable Software and Affected Versions
Google Agent Development Kit versões 1.7.0 até 1.28.0
Google Agent Development Kit versões 2.0.0a1 até 2.0.0a1
Description
Problemas de Injeção de Código e Falta de Autenticação no Google Agent Development Kit (ADK) em Python (OSS), Cloud Run e GKE permitem que um invasor remoto não autenticado execute código arbitrário no servidor que hospeda a instância do ADK. Detalhes técnicos indicam que o problema pode envolver o endpoint '/builder/save', que poderia permitir salvar e, posteriormente, executar scripts arbitrários no servidor.
Recommendations
Atualizar para a versão 1.28.1 e implantar novamente nos ambientes de produção, incluindo instâncias locais do ADK Web.
Atualizar para a versão 2.0.0a2 e implantar novamente nos ambientes de produção, incluindo instâncias locais do ADK Web.
Correção
RCE
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Agent Development Kit