CVE-2026-107292
Təsvir
Pydantic AI, Generativ Süni İntellekt ilə tətbiqlər və iş axınları qurmaq üçün nəzərdə tutulmuş bir Python agent çərçivəsidir. 1.34.0 versiyasından 2.30.0 versiyasına qədər olan dövrdə Agent.to_web() və clai veb tərtibat çat serveri Host başlığını yoxlamır, bu da tərtibatçı tərəfindən ziyarət edilən veb saytın DNS rebinding metodundan istifadə edərək loopback-də yerləşən agentə eyni mənşəli (same-origin) xidmət kimi müraciət etməsinə şərait yaradır. Zərərli səhifə təqdim olunan UI-ı oxuya və lokal prosesin imtiyazları və etibarnamələri ilə agent alətlərini icra edən çat sorğuları göndərə bilər ki, bu da məlumat sızmasına və ya arzuolunmaz yan təsirlərə səbəb olar. Localhost-a bağlanma, Origin yoxlamaları və CSRF tokenləri eyni mənşəli DNS rebinding yolunun qarşısını almır. Bu problem 1.107.5 və 2.30.0 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- pydantic pydantic_ai1.107.5, 2.30.0 və ya daha yeni versiya
- pydantic-ai1.107.5, 2.30.0 və ya daha yeni versiya
- pydantic-ai-slim1.107.5, 2.30.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pydantic pydantic_ai | 1.34.0 ≤ v < 1.107.5, 2.0.0 ≤ v < 2.30.0 | 1.107.5, 2.30.0 |
| pydantic-aiPyPI | 1.34.0 ≤ v < 1.107.5, 2.0.0b1 ≤ v < 2.30.0 | 1.107.5, 2.30.0 |
| pydantic-ai-slimPyPI | 1.34.0 ≤ v < 1.107.5, 2.0.0b1 ≤ v < 2.30.0 | 1.107.5, 2.30.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.