CVE-2026-120235 Consumo de recursos en ag-ui SSE Parser (parseSSEStream)
Una vulnerabilidad en ag-ui hasta 0.0.58 afecta la función parseSSEStream de sdks/typescript/packages/client/src/transform/sse.ts del componente SSE Parser y permite consumo de recursos. El ataque puede iniciarse de forma remota y el exploit ya es público. El parche tiene el identificador 9e7b2b00bce215bbf731f1e6094f63812527c432 y el componente afectado debe actualizarse.
CVSS 3.1
- CVSS 4.05.3 · media
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 29
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
ag-ui-protocol ag-ui
0.0.10.0.20.0.30.0.40.0.50.0.60.0.70.0.80.0.90.0.100.0.110.0.120.0.130.0.140.0.150.0.160.0.170.0.180.0.190.0.200.0.210.0.220.0.230.0.24
Qué hacer
- Verificá si usás ag-ui y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L/E:P/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 4.3 MEDIA
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L/E:P/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
Descripción original
A security vulnerability has been detected in ag-ui-protocol ag-ui up to 0.0.58. Affected is the function parseSSEStream of the file sdks/typescript/packages/client/src/transform/sse.ts of the component SSE Parser. The manipulation leads to resource consumption. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. The identifier of the patch is 9e7b2b00bce215bbf731f1e6094f63812527c432. The affected component should be upgraded.
Referencias (9)
- vuldb.com/vuln/429594
- vuldb.com/vuln/429594/cti
- vuldb.com/cve/CVE-2026-120235
- vuldb.com/submit/1015147
- github.com/ag-ui-protocol/ag-ui/issues/2522
- github.com/ag-ui-protocol/ag-ui/pull/2627
- github.com/ag-ui-protocol/ag-ui/commit/9e7b2b00bce215bbf731f1e6094f63812527c432
- github.com/ag-ui-protocol/ag-ui/releases/tag/release/2026-10-30
- github.com/ag-ui-protocol/ag-ui/
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.