CVE-2026-107295 in Pydantic
Riassunto
di VulDB • 08/10/2026
Pydantic AI è un framework per agenti Python utilizzato per sviluppare applicazioni e flussi di lavoro con l'IA generativa. Dalla versione 1.34.0 fino alla 1.107.4 (esclusa) e dalla 2.0.0 fino alla 2.28.0 (esclusa), il metodo `Agent.to_web()` e l'endpoint di chat per lo sviluppo web tramite clai presentano una mancata validazione del tipo di contenuto della richiesta (`Content-Type`). Un sito Web visitato da uno sviluppatore può inviare al server di chat ospitato in loopback una richiesta compatibile con il browser, causando l'esecuzione dell'agente servito e l'esecuzione degli strumenti con i privilegi e le credenziali del processo locale; anche le decisioni di approvazione relayate dal client lasciano esposti gli strumenti che richiedono `requires_approval=True`. L'associazione all'indirizzo localhost non impedisce a una pagina browser di raggiungere l'indirizzo in loopback. Questo problema è stato risolto nelle versioni 1.107.4 e 2.28.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.