CVE-2026-107289
Açıklama
Pydantic AI, Üretken Yapay Zeka ile uygulamalar ve iş akışları oluşturmak için kullanılan bir Python ajan çerçevesidir. 1.56.0 ile 1.107.6 ve 2.44.0 sürümleri arasında, force_download='allow-local' ile FileUrl veya allow_local_urls=True ile web_fetch_tool üzerinden saldırgan tarafından etkilenen URL'lerin yerel ağ erişimine izin veren uygulamalar, bir IPv6 meta veri adresine IPv6 bölge tanımlayıcısı ekleyerek bulut-metaveri engelleme listesini atlayabilir. IPv6Address eşitliği ve özetleme işlemleri bölge tanımlayıcısını içerdiğinden, ağ yığını bağlantı-yerel olmayan bir hedefte bölgeyi görmezden gelip meta veri servisine ulaşsa bile engelleme listesi karşılaştırması başarısız olur ve bu durum potansiyel olarak bulut IAM kimlik bilgilerini açığa çıkarabilir. İsteğe bağlı ayarlar varsayılan olarak kapalıdır ve sorun IPv6 destekli bir ortam gerektirir. Bu sorun 1.107.6 ve 2.44.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- pydantic pydantic_ai1.107.6, 2.44.0 ya da sonraki bir sürüm
- pydantic-ai1.107.6, 2.44.0 ya da sonraki bir sürüm
- pydantic-ai-slim1.107.6, 2.44.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pydantic pydantic_ai | 1.56.0 ≤ v < 1.107.6, 2.0.0 ≤ v < 2.44.0 | 1.107.6, 2.44.0 |
| pydantic-aiPyPI | 1.56.0 ≤ v < 1.107.6, 2.0.0b1 ≤ v < 2.44.0 | 1.107.6, 2.44.0 |
| pydantic-ai-slimPyPI | 1.56.0 ≤ v < 1.107.6, 2.0.0b1 ≤ v < 2.44.0 | 1.107.6, 2.44.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.