CVE-2026-10032
@a2ui/web_core: `openUrl` permite a execução de URI `javascript:` via ações de botão fornecidas pelo agente
Traduzido automaticamente do inglês.
A função openUrl no @a2ui/web_core passa uma URL controlada pelo agente diretamente para window.open() sem validar o esquema URI. Um agente malicioso pode fornecer uma URI javascript: como o argumento url de uma ação functionCall de um componente Button. Quando o usuário clica no botão renderizado, o JavaScript arbitrário é executado no contexto do navegador da aplicação vítima, constituindo um XSS armazenado/refletido.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.3 (v3.1)
- EPSS
- 0,13% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- @a2ui/web_core (npm) >= 0.9.0, < 0.10.2, corrigido em 0.10.2 · GHSA-72qq-p3r5-f7wq