CVE-2026-25640
Açıklama
Pydantic AI, Üretken Yapay Zeka ile uygulamalar ve iş akışları oluşturmak için kullanılan bir Python ajan çerçevesidir. 1.34.0 sürümünden 1.51.0 öncesine kadar olan sürümlerde, Pydantic AI web UI üzerindeki bir path traversal zafiyeti, saldırganın kötü amaçlı bir URL oluşturarak uygulama bağlamında rastgele JavaScript sunmasına olanak tanır. Etkilenen sürümlerde, CDN URL'si istek URL'sinden gelen bir versiyon sorgu parametresi kullanılarak oluşturulur. Bu parametre doğrulanmadığından, sunucunun meşru sohbet UI paketi yerine aynı CDN üzerindeki rastgele bir kaynaktan saldırgan tarafından kontrol edilen HTML/JavaScript içeriğini çekmesine ve sunmasına neden olan path traversal dizilerine izin verir. Bir kurban bağlantıya tıkladığında veya bir iframe aracılığıyla ziyaret ettiğinde, saldırgan tarafından kontrol edilen kod tarayıcıda çalıştırılır; bu da sohbet geçmişinin ve diğer istemci tarafı verilerinin çalınmasını sağlar. Bu zafiyet yalnızca bir sohbet arayüzü sunmak için Agent.to_web kullanan uygulamaları ve CLI üzerinden bir sohbet arayüzü sunan clai web bileşenini etkiler. Bunlar genellikle yerel olarak (localhost üzerinde) çalıştırılır ancak uzak bir sunucuya da konuşlandırılabilirler. Bu zafiyet 1.51.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- pydantic pydantic_ai1.51.0 ya da sonraki bir sürüm
- pydantic-ai1.51.0 ya da sonraki bir sürüm
- pydantic-ai-slim1.51.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pydantic pydantic_ai | 1.34.0 ≤ v < 1.51.0 | 1.51.0 |
| pydantic-aiPyPI | 1.34.0 ≤ v < 1.51.0 | 1.51.0 |
| pydantic-ai-slimPyPI | 1.34.0 ≤ v < 1.51.0 | 1.51.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.