GitHub 安全公告库 (GHSA)·2026-10-21 05:04· 2 天前精选AI 评分58

A2A Java SDK 因服务端可控请求头名与重定向导致 API key 泄露

A2A Java SDK send client credentials under server-controlled HTTP header name, enabling leakage via redirect

AI 导读

GitHub 安全公告指出 A2A Java SDK 的 AuthInterceptor 直接使用远端 agent AgentCard 中 APIKeySecurityScheme 的 name 字段作为 HTTP 请求头名，且未校验 location 是否为 HEADER。

为什么值得看

公告说明了恶意 agent 如何借自定义请求头与重定向把客户端 API key 转发到第三方，并给出白名单校验与禁用自动重定向两类修复方向。