GitHub 安全公告指出 A2A Java SDK 的 AuthInterceptor 直接使用远端 agent AgentCard 中 APIKeySecurityScheme 的 name 字段作为 HTTP 请求头名，且未校验 location 是否为 HEADER。
为什么值得看：公告说明了恶意 agent 如何借自定义请求头与重定向把客户端 API key 转发到第三方，并给出白名单校验与禁用自动重定向两类修复方向。
GitHub 安全公告披露 A2A Java SDK 的 Maven 包 org.a2aproject.sdk:a2a-java-sdk-server-common 存在默认任务授权失效问题。
为什么值得看：公告说明默认配置下任务读取不做授权，并给出 PoC 与修复方向，使用该 SDK 的团队可据此判断部署是否受影响。
A2A Java SDK 的 `org.a2aproject.sdk:a2a-java-sdk-server-common` 推送通知投递存在 SSRF（CWE-918）。
为什么值得看：公告给出了从创建推送配置到服务端 POST 打到元数据端点的完整复现路径，并附有按解析后 IP 校验的修复思路。
Jenkins 发布安全通告，修复 Script Security、Pipeline: Groovy Libraries、Robot Framework 等 13 个插件的 20 个漏洞，涉及 CVE-2026-92122 至 CVE-2026-92141。
为什么值得看：通告集中列出 Script Security 等 13 个插件的修复版本，其中多个沙箱绕过可导致 Jenkins controller JVM 内任意代码执行。