Apache Abdera 全版本 XXE 漏洞 CVE-2026-113582 利用条目公开
Sploitus 聚合页收录了 Apache Abdera 的 XXE 漏洞 CVE-2026-113582 利用条目。该漏洞源于 Abdera 对 XML 外部实体引用的限制不当，当应用解析攻击者可控的 XML 时可访问敏感数据或发起服务端请求，影响 Apache Abdera 所有版本。
#Java
Sploitus 利用聚合AI 评分5858
GitHub 安全公告库 (GHSA)AI 评分4040 OGNL stricter-invocation 阻止列表可经 java.lang.reflect 反射代理绕过
OGNL 的 stricter-invocation 阻止列表按被调用方法的声明类过滤，因 java.lang.reflect.Method 等不在列表中，表达式可用 someMethod.invoke(target, args) 作代理调用 Runtime、ProcessBuilder 等被阻止的方法，PoC 在默认上下文下成功创建文件。
GitHub 安全公告库 (GHSA)精选AI 评分5858 A2A Java SDK 因服务端可控请求头名与重定向导致 API key 泄露
GitHub 安全公告指出 A2A Java SDK 的 AuthInterceptor 直接使用远端 agent AgentCard 中 APIKeySecurityScheme 的 name 字段作为 HTTP 请求头名，且未校验 location 是否为 HEADER。
为什么值得看：公告说明了恶意 agent 如何借自定义请求头与重定向把客户端 API key 转发到第三方，并给出白名单校验与禁用自动重定向两类修复方向。
GitHub 安全公告库 (GHSA)精选AI 评分5858 A2A Java SDK 默认任务授权失效漏洞 GHSA-qw47-mcm5-934w 影响 1.2.0.Final 及更早版本
GitHub 安全公告披露 A2A Java SDK 的 Maven 包 org.a2aproject.sdk:a2a-java-sdk-server-common 存在默认任务授权失效问题。
为什么值得看：公告说明默认配置下任务读取不做授权，并给出 PoC 与修复方向，使用该 SDK 的团队可据此判断部署是否受影响。
GitHub 安全公告库 (GHSA)精选AI 评分5858 A2A Java SDK 推送通知投递存在 SSRF，可访问云元数据端点
A2A Java SDK 的 `org.a2aproject.sdk:a2a-java-sdk-server-common` 推送通知投递存在 SSRF（CWE-918）。
为什么值得看：公告给出了从创建推送配置到服务端 POST 打到元数据端点的完整复现路径，并附有按解析后 IP 校验的修复思路。
GitHub 安全公告库 (GHSA)AI 评分2222 A2A Java SDK 在 protobuf 解析失败时明文记录推送通知凭据
A2A Java SDK 的 RestHandler.java 中 parseRequestBody 方法在 JsonFormat 解析抛出 InvalidProtocolBufferException 时，以 SEVERE 级别完整记录请求体，导致客户端提交的推送通知 bearer token 与 authentication.credentials 明文写入服务器日志。
Red Hat CVE 数据库AI 评分4242 Apache Johnzon johnzon-mapper 存在不安全类加载导致任意代码执行漏洞
Apache Johnzon 的 johnzon-mapper 组件存在不安全类加载问题，可导致任意代码执行。该漏洞影响 org.apache.johnzon/johnzon-mapper，Red Hat 已收录相关 CVE 通告。
Jenkins 安全公告精选AI 评分6767 Jenkins 修复 Script Security 等 13 个插件漏洞，含多个沙箱绕过
Jenkins 发布安全通告，修复 Script Security、Pipeline: Groovy Libraries、Robot Framework 等 13 个插件的 20 个漏洞，涉及 CVE-2026-92122 至 CVE-2026-92141。
为什么值得看：通告集中列出 Script Security 等 13 个插件的修复版本，其中多个沙箱绕过可导致 Jenkins controller JVM 内任意代码执行。