CVE-2026-107286 in Pydantic
Zusammenfassung
von VulDB • 08.10.2026
Pydantic AI ist ein Python-Agent-Framework zum Erstellen von Anwendungen und Workflows mit Generative AI. Von Version 2.10.0 bis 2.53.0 können gestreamte Anfragen, die über ConcurrencyLimitedModel oder limit_model_concurrency gesendet werden, gemeinsam genutzteConcurrency-Slots zurückhalten, da anyio.CapacityLimiter einen erworbenen Slot an den ausleihenden Task bindet, während das Streaming-Cleanup in einem anderen Task ausgeführt werden kann. Eine vorzeitige Beendigung des Streams, Abbrüche, Ausnahmen beim Verbraucher oder die vollständige Verbrauchung von stream_text() mit debounce_by=0.1 können daher Kapazitäten belegt lassen, was schließlich dazu führt, dass spätere Anfragen, die den langlebigen Limiter teilen, nicht mehr fortgesetzt werden können und einen Denial of Service verursachen. Maximaler Concurrency auf Agent-Ebene sowie Nicht-Streaming-Modellanfragen sind davon nicht betroffen. Dieses Problem wurde in Version 2.53.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.