CVE-2026-10032
Vulnérabilité moyenne dans @a2ui/web_core (Google)
Description
The openUrl function in @a2ui/web_core passes an agent-controlled URL directly to window.open() without validating the URI scheme. A malicious agent can supply a javascript: URI as the url argument of a Button component's functionCall action. When the user clicks the rendered button, arbitrary JavaScript executes in the victim application's browser origin, constituting a stored/reflected XSS with Critical severity. No non-default configuration is required; the Basic Catalog is enabled by default.
Gravité et risque d'exploitation
CVE-2026-10032 obtient un score CVSS de 6.1/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.13 %, ce qui la place devant 2.0 % des CVE référencées.
Que faire ?
- Vérifiez si @a2ui/web_core (versions 0.10.1, 0.10.0, 0.9.1-alpha.2, 0.9.1-alpha.4, 0.9.1-alpha.3, 0.9.1-alpha.1, 0.9.2, 0.9.0, 0.9.1, 0.9.1-alpha.5, 0.9.1-alpha.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.