CVE-2026-10032 (@a2ui/web_core 0.9.0–0.10.1, CVSS 9.3) to XSS z nową ścieżką dostarczenia. Biblioteka renderuje interfejs generowany przez agenta AI. Funkcja openUrl przekazuje adres z akcji przycisku do window.open bez sprawdzenia schematu. Złośliwy lub zmanipulowany agent może więc podać javascript: URI, a kliknięcie przycisku wykona skrypt w originie aplikacji.
openUrl → window.open bez walidacji schematu → javascript: URI z akcji agenta wykonuje się po kliknięciu.Attack path
Output agenta to dane niezaufane
Interfejsy generowane przez agentów zmieniają model zagrożeń: tekst z modelu nie jest już tylko wyświetlany, ale zamienia się w akcje — przyciski, linki, wywołania funkcji. Agent może być złośliwy (zewnętrzny serwer agentowy) albo zmanipulowany przez prompt injection z treści, którą przetwarza. W obu przypadkach to, co trafia do UI, trzeba traktować jak dane od niezaufanego źródła. To ta sama zasada co przy MCP Python SDK: metadane z drugiej strony protokołu są powierzchnią ataku.
Co powinien zrobić VE
Upgrade do 0.10.2. Zinwentaryzuj aplikacje, które renderują UI z outputu agentów (także pośrednio, przez zależności). Niezależnie od poprawki: allowlista schematów URL (http/https) w każdym miejscu, gdzie output agenta otwiera adres, oraz CSP ograniczające wykonanie skryptów. Test negatywny po poprawce: przycisk z javascript: URI (i innymi niepożądanymi schematami, np. data:) przekazanym tą samą ścieżką danych, której używa agent, nie może niczego wykonać.
Powiązane na blogu
- MCP Python SDK — dane z drugiej strony protokołu jako powierzchnia ataku
- Tencent BrowserSkill — integralność warstwy agent ↔ przeglądarka
Źródła
- GitLab Advisory Database — CVE-2026-10032 (@a2ui/web_core) — advisories.gitlab.com
Nota redakcyjna: stan informacji 6 października 2026, na podstawie draftu VMRT i publicznego advisory (GitLab Advisory DB). CVE-2026-10032 (@a2ui/web_core 0.9.0–0.10.1, CVSS 9.3, fix 0.10.2). Artykuł nie potwierdza aktywnej eksploatacji.