Lima CVE Protokol AG-UI — Frontend Agen Jadi Permukaan Serangan; Tiga Bug Belum Ada Rilis Perbaikan
Kelima CVE menyasar `@ag-ui/client`, klien TypeScript protokol AG-UI (Agent-User Interaction Protocol — standar stream state/tool call/generative UI dari backend agen ke frontend seperti CopilotKit). (1) **CVE-2026-120233** (CVSS 3.1 5.3): HttpAgent membangun fetch tanpa opsi redirect — endpoint age
Kelima CVE menyasar `@ag-ui/client`, klien TypeScript protokol AG-UI (Agent-User Interaction Protocol — standar stream state/tool call/generative UI dari backend agen ke frontend seperti CopilotKit). (1) **CVE-2026-120233** (CVSS 3.1 5.3): HttpAgent membangun fetch tanpa opsi redirect — endpoint agen yang jahat/kompromi bisa menjawab POST run dengan redirect ke origin pilihannya; request yang dikirim ulang membawa envelope run (`threadId`, `runId`) dan header developer termasuk header tenant. Exploit publik. (2) **CVE-2026-120234**: respons error dibaca seluruhnya ke memori tanpa batas ukuran.