CVE-2026-120236 Validación de entrada incorrecta en el decodificador Transport de ag-ui
Una vulnerabilidad en ag-ui hasta 0.0.58 permite manipular el componente Transport Decoder Handler y provocar una validación de entrada incorrecta. El ataque puede lanzarse de forma remota y el exploit ya es público. El parche es el commit 660182b973a44b8eda5484b14b88eb9cc251edc4 y se recomienda actualizar el componente afectado.
CVSS 3.1
- CVSS 4.05.3 · media
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 18
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
ag-ui-protocol ag-ui
0.0.10.0.20.0.30.0.40.0.50.0.60.0.70.0.80.0.90.0.100.0.110.0.120.0.130.0.140.0.150.0.160.0.170.0.180.0.190.0.200.0.210.0.220.0.230.0.24
Qué hacer
- Verificá si usás ag-ui y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
CVSS 4.0 · 5.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
- Madurez del exploitPrueba de concepto
CVSS 3.0 · 6.3 MEDIA
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L/E:P/RL:O/RC:C
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
- Madurez del exploitPrueba de concepto
- Nivel de remediaciónCorrección oficial
- Confianza del informeConfirmada
Descripción original
A vulnerability was detected in ag-ui-protocol ag-ui up to 0.0.58. Affected by this vulnerability is an unknown functionality of the component Transport Decoder Handler. The manipulation results in improper input validation. The attack may be launched remotely. The exploit is now public and may be used. The patch is identified as 660182b973a44b8eda5484b14b88eb9cc251edc4. It is suggested to upgrade the affected component.
Referencias (9)
- vuldb.com/vuln/429595
- vuldb.com/vuln/429595/cti
- vuldb.com/cve/CVE-2026-120236
- vuldb.com/submit/1015178
- github.com/ag-ui-protocol/ag-ui/issues/2524
- github.com/ag-ui-protocol/ag-ui/pull/2774
- github.com/ag-ui-protocol/ag-ui/commit/660182b973a44b8eda5484b14b88eb9cc251edc4
- github.com/ag-ui-protocol/ag-ui/releases/tag/release/2026-10-30
- github.com/ag-ui-protocol/ag-ui/
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.