Bilanz der Quelle: Die Funktion openUrl in @a2ui/web_core übergibt agentenkontrollierte URLs an window.open() ohne Schema-Validierung. Ein böswilliger Agent kann eine JavaScript-URI als URL-Artegion einer Button-Aktion setzen, was beim Klick beliebiges JavaScript im Browser-Origin ausführt. Das zugrunde liegende Zod-Schema akzeptiert nur z.string() und prüft das Schema nicht.
🔗 Im Original weiterlesen → · 🗃 Wayback Machine (Archiv)
ℹ️ KI-Hinweis
Die Inhalte dieses Artikels wurden automatisiert mittels Künstlicher Intelligenz generiert. Die zugrundeliegenden Daten stammen von github.com. Es erfolgte keine manuelle redaktionelle Bearbeitung.
Die Inhalte dieses Artikels wurden automatisiert mittels Künstlicher Intelligenz generiert. Die zugrundeliegenden Daten stammen von github.com. Es erfolgte keine manuelle redaktionelle Bearbeitung.
