CVE-2026-25640
Təsvir
Pydantic AI, Generativ Süni İntellekt ilə tətbiqlər və iş axınları yaratmaq üçün nəzərdə tutulmuş bir Python agent çərçivəsidir. 1.34.0 versiyasından 1.51.0 versiyasına qədər olan dövrdə, Pydantic AI veb interfeysindəki yol keçidi (path traversal) zəifliyi hücumçuya zərərli URL hazırlamaqla tətbiqin kontekstində ixtiyari JavaScript fayllarının təqdim edilməsinə imkan verir. Təsirə məruz qalan versiyalarda CDN URL-i sorğu URL-indən gələn versiya sorğu parametri vasitəsilə qurulur. Bu parametr yoxlanılmadığı üçün yol keçidi ardıcıllıqlarına imkan verir ki, bu da serverin legitim çat interfeysi paketi əvəzinə eyni CDN-dəki ixtiyari mənbədən hücumçunun idarə etdiyi HTML/JavaScript fayllarını götürməsinə və təqdim etməsinə səbəb olur. Qurban linkə kliklədikdə və ya ona iframe vasitəsilə daxil olduqda, hücumçunun idarə etdiyi kod onların brauzerində icra olunur və bu, çat tarixçəsinin və digər klient tərəfli məlumatların oğurlanmasına şərait yaradır. Bu zəiflik yalnız çat interfeysini təqdim etmək üçün Agent.to_web istifadə edən tətbiqlərə və CLI-dan çat interfeysini təqdim etmək üçün clai web istifadə edən tətbiqlərə təsir göstərir. Bunlar adətən lokal olaraq (localhost-da) işlədilir, lakin uzaq serverdə də yerləşdirilə bilər. Bu zəiflik 1.51.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- pydantic pydantic_ai1.51.0 və ya daha yeni versiya
- pydantic-ai1.51.0 və ya daha yeni versiya
- pydantic-ai-slim1.51.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pydantic pydantic_ai | 1.34.0 ≤ v < 1.51.0 | 1.51.0 |
| pydantic-aiPyPI | 1.34.0 ≤ v < 1.51.0 | 1.51.0 |
| pydantic-ai-slimPyPI | 1.34.0 ≤ v < 1.51.0 | 1.51.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.