CVE-2026-107292
Açıklama
Pydantic AI, Üretken Yapay Zeka ile uygulamalar ve iş akışları oluşturmak için kullanılan bir Python ajan çerçevesidir. 1.34.0 ile 2.30.0 sürümleri arasında, Agent.to_web() ve clai web geliştirme sohbet sunucusu Host başlığını doğrulamamaktadır; bu durum, bir geliştirici tarafından ziyaret edilen bir web sitesinin, loopback üzerinde barındırılan bir ajana aynı kökenli (same-origin) bir servis olarak erişmek için DNS rebinding yöntemini kullanmasına olanak tanır. Kötü niyetli sayfa, sunulan kullanıcı arayüzünü okuyabilir ve yerel işlemin ayrıcalıkları ve kimlik bilgileriyle ajan araçlarını çalıştıran sohbet istekleri göndererek veri ifşasına veya istenmeyen yan etkilere yol açabilir. Localhost'a bağlanma, Origin kontrolleri ve CSRF belirteçleri, aynı kökenli DNS rebinding yolunu engellemez. Bu sorun 1.107.5 ve 2.30.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- pydantic pydantic_ai1.107.5, 2.30.0 ya da sonraki bir sürüm
- pydantic-ai1.107.5, 2.30.0 ya da sonraki bir sürüm
- pydantic-ai-slim1.107.5, 2.30.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pydantic pydantic_ai | 1.34.0 ≤ v < 1.107.5, 2.0.0 ≤ v < 2.30.0 | 1.107.5, 2.30.0 |
| pydantic-aiPyPI | 1.34.0 ≤ v < 1.107.5, 2.0.0b1 ≤ v < 2.30.0 | 1.107.5, 2.30.0 |
| pydantic-ai-slimPyPI | 1.34.0 ≤ v < 1.107.5, 2.0.0b1 ≤ v < 2.30.0 | 1.107.5, 2.30.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.