CVE-2026-107289 in Pydantic
요약
\~에 의해 VulDB • 2026. 10. 08.
Pydantic AI는 생성형 AI를 사용하여 애플리케이션 및 워크플로우를 구축하기 위한 Python 에이전트 프레임워크입니다. 버전 1.56.0부터 1.107.6까지, 그리고 2.44.0 이전 버전에서 `FileUrl`의 `force_download='allow-local'` 또는 `web_fetch_tool`의 `allow_local_urls=True`를 통해 공격자가 영향력을 행사할 수 있는 URL을 로컬 네트워크 접근에 선택적으로 허용하는 애플리케이션은 IPv6 메타데이터 주소에 IPv6 zone identifier(영역 식별자)를 추가함으로써 클라우드 메타데이터 차단 목록(blocklist)을 우회할 수 있습니다. `IPv6Address`의 동등성 비교 및 해싱에는 영역 식별자가 포함되므로, 네트워크 스택이 비 링크-로컬 목적지에서는 해당 영역을 무시하고 메타데이터 서비스에 도달하더라도 차단 목록 비교는 실패합니다. 이로 인해 클라우드 IAM 자격 증명이 노출될 위험이 있습니다. 선택적 설정은 기본적으로 비활성화되어 있으며, 이 문제는 IPv6가 활성화된 환경에서만 발생합니다. 이 문제는 버전 1.107.6 및 2.44.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.