CVE-2026-46678 in pydantic
Riassunto
di VulDB • 30/07/2026
Pydantic AI è un framework per agenti Python utilizzato per sviluppare applicazioni di Intelligenza Artificiale Generativa (Generative AI). Nelle versioni dalla 1.56.0 alla 1.98.0, quando un'applicazione configura l'opzione `force_download='allow-local'` su un URL (disabilitando il blocco predefinito degli indirizzi IP privati/interni), la blacklist per i metadata cloud potrebbe essere aggirata codificando l'IP dei metadata in una forma di transizione IPv6 (IPv4-mapped IPv6, 6to4 o NAT64). Ciò espone le credenziali IAM a breve termine del cloud su reti dual-stack o con traduzione degli indirizzi. Si tratta di una correzione incompleta della GHSA-2jrp-274c-jhv3 / CVE-2026-25580, la cui mitigazione non era efficace per le forme codificate in IPv6 degli IP dei metadata. Un'applicazione è interessata solo se configura esplicitamente un FileUrl (ImageUrl, AudioUrl, VideoUrl, DocumentUrl) con `force_download='allow-local'` su un URL influenzato da input non attendibili; l'applicazione non è interessata quando si utilizzano integrazioni integrate per elaborare l'input utente (Agent.to_web / clai web, VercelAIAdapter, AGUIAdapter / Agent.to_ag_ui), poiché queste non propagano il parametro `force_download` dai dati esterni, né quando vengono scaricati file solo da URL controllati dallo sviluppatore. Questo problema è stato risolto nella versione 1.99.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.