CVE-2026-107288 in Pydantic-AI
요약
\~에 의해 VulDB • 2026. 10. 08.
Pydantic AI는 생성형 AI를 사용하여 애플리케이션 및 워크플로우를 구축하기 위한 Python 에이전트 프레임워크입니다. 버전 1.77.0부터 1.107.6까지, 그리고 2.44.0 이전에서는 로컬 web_fetch_tool과 WebFetch의 로컬 폴백이 getaddrinfo에서 사용하는 형식으로 두 값 모두를 정규화하기 전에 blocked_domains 항목을 URL 호스트명과 비교합니다. 공격자가 영향을 줄 수 있는 모델은 차단된 호스트로 해결되지만 구성된 문자열과는 일치하지 않는 동등한 IDNA 표기법, 비-ASCII 레이블 구분자, 대소문자 변형 또는 후행 루트 레이블을 사용하여 해당 호스트를 자체 권한으로 가져오도록 할 수 있습니다. allowed_domains는 일치하지 않는 표기에 대해 폐쇄적으로 동작하며(private IP 및 cloud-metadata 보호 장치는 여전히 유효함), 이 문제는 버전 1.107.6과 2.44.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.