CVE-2026-107289 in Pydantic
Zusammenfassung
von VulDB • 08.10.2026
Pydantic AI ist ein Python-Agent-Framework zum Erstellen von Anwendungen und Workflows mit Generative AI. Von Version 1.56.0 bis einschließlich 1.107.6 sowie in der Reihe 2.x bis 2.43.x können Anwendungen, die über FileUrl mit force_download='allow-local' oder web_fetch_tool mit allow_local_urls=True eine lokale Netzwerkzugriffsmöglichkeit für angreiferbeeinflusste URLs ermöglichen, die Cloud-Metadata-Blockliste umgehen, indem sie einem IPv6-Metadaten-Adresse einen IPv6-Zonenbezeichner (zone identifier) anhängen. Da die Gleichheitsprüfung und Hashing-Funktion von IPv6Address den Zonenbezeichner einbeziehen, schlägt der Blocklistenvergleich fehl, obwohl das Netzwerkstack den Zonenbezeichner bei einem Nicht-Link-Lokal-Ziel ignoriert und den Metadaten-Dienst erreicht, was potenziell Cloud-IAM-Anmeldeinformationen offenlegen kann. Die Opt-in-Einstellungen sind standardmäßig deaktiviert, und die Schwachstelle erfordert eine IPv6-fähige Umgebung. Dieses Problem wurde in den Versionen 1.107.6 und 2.44.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.