Уязвимость раскрытия информации в a2ui Model Processor (CVE-2026-92357)
В библиотеке a2ui-project a2ui (версии 0.8, 0.9 и 1.0) выявлена уязвимость раскрытия информации в компоненте Model Processor. Атака возможна удалённо и не требует аутентификации, что делает её опасной для публично доступных приложений. Уровень критичности — средний (CVSS 5.3).
Подробности
Уязвимости присвоен идентификатор CVE-2026-92357. По данным CVE Project, проблема присутствует в версиях 0.8, 0.9 и 1.0 библиотеки a2ui-project a2ui. Уязвимая логика сосредоточена в файле model-processor.ts компонента Model Processor. Конкретная функция не раскрыта, однако известно, что причиной раскрытия информации становится манипуляция аргументом current[segment]. Это позволяет атакующему получить доступ к содержимому, которое должно оставаться внутренним для приложения. Оценка по шкале CVSS составляет 5.3, что соответствует среднему уровню критичности. Существенно, что эксплуатация возможна удалённо (remote) — злоумышленнику не требуется локальный доступ к системе или учётная запись. В сочетании с отсутствием указания на необходимость привилегий это расширяет круг потенциально уязвимых сценариев: достаточно, чтобы приложение принимало и обрабатывало внешние данные через Model Processor. Точные условия эксплуатации в записи CVE не детализированы, поэтому не исключены и другие векторы, приводящие к нежелательному раскрытию данных. На текущий момент сведений об активном использовании уязвимости в реальных атаках не приводится.Что делать
Разработчикам и владельцам приложений, использующих a2ui-project a2ui, рекомендуется как можно скорее обновить библиотеку до версии, содержащей исправление. Официальный патч для устранения уязвимости опубликован и идентифицирован хешем коммита 1b3bff234661ce922cbc3771be642b23ec9fd0fa. Именно развёртывание этого исправления описывается как основной способ устранения проблемы. Если немедленное обновление невозможно, следует рассмотреть временные меры: ограничить удалённый доступ к функциональности, задействующей Model Processor, а также усилить контроль над входными данными, передаваемыми в аргумент current[segment]. Дополнительно имеет смысл проверить логи на предмет подозрительных запросов к компоненту и оценить, не попадали ли во внешний контур чувствительные данные. После обновления стоит убедиться, что патч действительно применён во всех окружениях, включая промежуточные и тестовые. Итог: уязвимость CVE-2026-92357 — это удалённо эксплуатируемое раскрытие информации среднего уровня критичности в библиотеке a2ui-project a2ui. Исправление уже доступно в виде патча, поэтому ключевая рекомендация — оперативно обновить зависимость и минимизировать воздействие до установки исправления.Источник: CVE Project (cvelistV5)