CVE-2026-120237
Publiée le 2026-11-01 · Dernière modification le 2026-11-02
Le client ag-ui-protocol (versions jusqu'à 0.0.58) est une bibliothèque basée sur TypeScript utilisée pour gérer les communications et les interruptions dans les interfaces utilisateur. Une faille dans la fonction `isInterruptExpired` permet une mauvaise gestion du minutage et de l'expiration des interruptions. Ce bug permet à un attaquant de manipuler la manière dont le système traite ces interruptions, entraînant une consommation excessive de ressources.
Un attaquant peut exploiter cette vulnérabilité pour provoquer un déni de service partiel en épuisant les ressources du système, bien que cela ne compromette ni la confidentialité ni l'intégrité des données. L'exécution nécessite un accès réseau et un compte utilisateur avec des privilèges restreints, mais aucune autre interaction de l'utilisateur n'est requise. Étant donné qu'un exploit public existe et que la complexité de l'attaque est faible, le risque est présent mais son impact global reste limité.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw has been found in ag-ui-protocol ag-ui up to 0.0.58. Affected by this issue is the function isInterruptExpired of the file sdks/typescript/packages/client/src/interrupts/index.ts of the component Interrupt expiry. This manipulation causes resource consumption. Remote exploitation of the attack is possible. The exploit has been published and may be used. The pull request to fix this issue awaits acceptance.