GHSA 披露 A2A Java SDK 默认任务授权缺失漏洞

GitHub 安全公告库披露，A2A Java SDK 的 Maven 包 org.a2aproject.sdk:a2a-java-sdk-server-common 存在默认任务授权失效问题，影响 1.2.0.Final 及更早版本。公告称，默认任务存储对任务读取不执行任何授权。 公告称，使用默认存储、手动构建 DefaultRequestHandler.builder().build()，或通过非 CDI 技术栈（如 Spring）集成的服务器，都不会走到授权检查；在默认/参考部署中，传输端点未强制认证，未认证调用者即可触达该读取。 在修复版本发布前，公告建议配置 TaskAuthorizationProvider，并确保请求经授权装饰器（CDI 装配）路由，而不要依赖默认无参存储或手动构建的处理器。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。