CVE-2026-46678 in pydantic
الملخص
بحسب VulDB • 31/07/2026
Pydantic AI هو إطار عمل لوكلاء بايثون (Python) مخصص لبناء تطبيقات الذكاء الاصطناعي التوليدي. في الإصدارات من 1.56.0 إلى 1.98.0، عندما يختار التطبيق تفعيل خاصية `force_download='allow-local'` لعنوان URL معين (مما يعطل الحظر الافتراضي على عناوين IP الخاصة/الداخلية)، يمكن تجاوز قائمة حظر بيانات السحابة الإلكترونية عن طريق تشفير عنوان IP للبيانات الوصفية باستخدام صيغ الانتقال إلى IPv6 (مثل IPv4-mapped IPv6، أو 6to4، أو NAT64)، مما يؤدي إلى كشف بيانات اعتماد IAM قصيرة الأمد للسحابة الإلكترونية على الشبكات ثنائية المكدس (dual-stack) أو شبكات الترجمة. يُعد هذا الإصلاح غير مكتمل لمشكلة GHSA-2jrp-274c-jhv3 / CVE-2026-25580، حيث لم يكن الحل المتخذ فعالاً ضد صيغ عناوين IP للبيانات الوصفية المشفرة بصيغة IPv6. يتأثر التطبيق فقط إذا قام بشكل صريح بتفعيل خاصية `force_download='allow-local'` لعنصر FileUrl (أو ImageUrl، AudioUrl، VideoUrl، DocumentUrl) على عنوان URL يتأثر بإدخال غير موثوق؛ ولا يتأثر عند استخدام التكاملات المدمجة لاستيعاب إدخال المستخدم (مثل Agent.to_web / clai web، VercelAIAdapter، AGUIAdapter / Agent.to_ag_ui)، نظراً لأنها لا تنقل قيمة `force_download` من البيانات الخارجية، وكذلك عند التنزيل فقط من عناوين URL التي يتحكم فيها المطور. تم إصلاح هذه المشكلة في الإصدار 1.99.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.