CVE-2026-10032

CVE-2026-10032 · Arbitrary JavaScript Execution via openUrl in @a2ui/web_core

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

The openUrl function in @a2ui/web_core passes an agent-controlled URL directly to window.open() without validating the URI scheme. A malicious agent can supply a javascript: URI as the url argument of a Button component's functionCall action. When the user clicks the rendered button, arbitrary JavaScript executes in the victim application's browser origin, constituting a stored/reflected XSS with Critical severity. No non-default configuration is required; the Basic Catalog is enabled by default.

CVSS 6.1 · Средний · EPSS 0,1% · Есть исправление

Опубликовано

2026-08-04T15:36:45.199Z

Обновлено

2026-08-04T17:43:20.898Z

Стек: node

Проверьте свой сервер →