What is CVE-2026-10032?
CVE-2026-10032 is a vulnerability in the @a2ui/web_core package where the openUrl function passes an agent-controlled URL directly to window.open() without validating the URI scheme. A malicious agent can trigger arbitrary JavaScript execution when a user clicks a rendered button. Developers should immediately update the package and implement strict URL validation.
Azərbaycanca: CVE-2026-10032, @a2ui/web_core paketindəki openUrl funksiyasında agent tərəfindən idarə olunan URL-in heç bir URI sxem yoxlaması olmadan birbaşa window.open() funksiyasına ötürülməsi nəticəsində yaranan boşluqdur. Zərərli agent istifadəçi button-a kliklədikdə özbaşına JavaScript kodunun icrasına səbəb ola bilər. Tərtibatçılar dərhal bu paketi ən son təhlükəsizlik yeniləməsi ilə yeniləməli və daxil olan URL-ləri ciddi şəkildə yoxlamalıdır.
Related CVEs
link basis: same weakness class CWE-79
FAQ2
How can CVE-2026-10032 be exploited?
A malicious agent can trigger arbitrary JavaScript execution when a user clicks a button, because the openUrl function passes an agent-controlled URL directly to window.open() without validating the URI scheme.
Which package is affected by CVE-2026-10032?
This vulnerability was found in the @a2ui/web_core package.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.