- Yama var
- Son 7 gün
- CWE-488
CVE-2026-115419
Strands Agents SDK A2A Sunucusunda Oturumlar Arası Veri Sızıntısı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- AMZN
ÖzetTürkçe
Amazon Strands Agents SDK for Python 1.43.0 sürümünden önceki sürümlerde ve Amazon Strands Agents SDK for TypeScript 1.5.0 sürümünden önceki sürümlerde A2A sunucu bileşeni, çağıranlar arasında konuşma durumunu düzgün biçimde izole etmez. Kimliği doğrulanmış bir uzak kullanıcı, farklı bir context_id kullanarak A2A uç noktasına gönderdiği HTTP istekleriyle diğer kiracıların konuşma geçmişini okuyabilir ve sonraki çağıranlar için model davranışını değiştiren kalıcı talimatlar ekleyebilir.
Bu sorunu gidermek için kullanıcıların strands-agents 1.43.0 (Python) veya @strands-agents/sdk 1.5.0 (TypeScript) sürümüne yükseltme yapması gerekir.
Kaynaktaki açıklama (İngilizce)
The A2A server component in Amazon Strands Agents SDK for Python before 1.43.0 and Amazon Strands Agents SDK for TypeScript before 1.5.0 does not properly isolate conversation state between callers. An authenticated remote user could read other tenants' conversation history and add persistent instructions that alter model behavior for subsequent callers via HTTP requests to the A2A endpoint using a different context_id.
To mitigate this issue, users should upgrade to strands-agents 1.43.0 (Python) or @strands-agents/sdk 1.5.0 (TypeScript).
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| AWS strands-agents | < 1.43.0 | 1.43.0 |
| AWS strands-agents/sdk | < 1.5.0 | 1.5.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.