何が起きたか
5つのCVE（2026年11月1日にVulDB、cna@vuldb.comによって公開）はAG-UIプロトコルTypeScriptクライアントを標的にしています。2つは@ag-ui/client 1.0.0で修正済み；3つ（120234 無制限のエラーボディ読み取り、120236 protobufスキーマ検証スキップ、120237 割り込み有効期限停止）は現在の1.0.3リリースで未修正であり、それぞれGitHub Issueに公開PoCがあります。アドバイザリにはGitHub Security Advisoryは含まれていません — これらはVulDBのCNA経由でのみ割り当て・公開されたため、リポジトリ/組織名に基づく依存関係スキャナーは見逃す可能性があります。
なぜ重要か
AG-UIはAIエージェントバックエンドが状態、ツール呼び出し、生成UIをCopilotKitなどのエージェントフロントエンドにストリーミングするためのプロトコルです。無制限のメモリ増大、エージェント実行状態を破壊するスキーマ検証バイパス、スレッドの実行を恒久的に停止させるメッセージは、広く再利用されるクライアントにおけるエージェントオーケストレーションのDoS/整合性欠陥です。未修正のCVEはVulDB経由でのみ追跡され、GHSAエントリがないため、防御側が見逃しやすいです。
攻撃経路
AG-UIクライアントには複数の弱点があり、AIエージェントバックエンドが状態をエージェントフロントエンドにストリーミングします：トランスポートはエラー全体をサイズ上限なしでメモリに読み取ります（CVE-2026-120234）；SSEパーサーは終了されていないストリーム末尾を上限なしでバッファリングします（CVE-2026-120235）；protobufデコーダーはSSEパスが強制するスキーマ検証をスキップするため、不正なイベントが実行状態を破壊する可能性があります（CVE-2026-120236、公開PoC）；割り込み有効期限はexpiresAtが欠落している場合を無期限として扱うため、1つのRUN_FINISHEDメッセージがスレッドの実行を恒久的に停止させることができます（CVE-2026-120237）。
影響を受けるシステム
@ag-ui/client / ag-ui-protocol ag-ui 0.0.1–0.0.58（npm @ag-ui/client；CVE-2026-120234、120235、120236、120237）
緩和策
CVE-2026-120235およびCVE-2026-120236は@ag-ui/client 1.0.0（2026-09-17公開）で修正されています。CVE-2026-120233/120234/120237は未マージのPRのみで、現在の@ag-ui/client 1.0.3には存在しません — ピン留め/アップグレードが唯一の道であり、完全な修正は上流で保留中です。