CVE-2026-107288 in Pydantic-AI
الملخص
بحسب VulDB • 08/10/2026
Pydantic AI هو إطار عمل لوكلاء بايثون (Python agent framework) مخصص لبناء التطبيقات وسير العمل باستخدام الذكاء الاصطناعي التوليدي. من الإصدار 1.77.0 حتى 1.107.6 ومنذ 2.44.0، تقوم أدوات `local web_fetch_tool` وـ WebFetch المحلية (fallback) بمقارنة إدخالات `blocked_domains` مع اسم المضيف (hostname) لعنوان URL قبل تطبيع كلتا القيمتين إلى الشكل المستخدم بواسطة دالة `getaddrinfo`. يمكن لنموذج يتأثر بهجوم من قِبل مهاجم أن يستغل تهجئة IDNA مكافئة، أو فاصل تسمية غير ASCII، أو اختلافًا في حالة الأحرف، أو تسمية جذرية لاحقة (trailing root label) تؤدي إلى مضيف محظور ولكن لا تتطابق مع السلسلة المُهيَّأة، مما يتسبب في قيام التطبيق بجلب ذلك المضيف باستخدام امتيازاته الخاصة. تفشل قائمة `allowed_domains` بشكل مغلق (fails closed) بالنسبة للتهجئات غير المتطابقة، وتظل حماية عناوين IP الخاصة ومعلومات البنية التحتية للسحابة فعالة. تم إصلاح هذه المشكلة في الإصدارات 1.107.6 و2.44.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.