CVE-2026-46678 in pydantic
Sumário
de VulDB • 29/07/2026
Pydantic AI é um framework de agentes Python para a construção de aplicações de IA Generativa. Nas versões 1.56.0 até 1.98.0, quando uma aplicação define `force_download='allow-local'` numa URL (desativando o bloqueio padrão contra IPs privados/internos), a lista negra de metadados da nuvem pode ser contornada ao codificar o IP dos metadados num formato de transição IPv6 (IPv4-mapped IPv6, 6to4 ou NAT64), expondo credenciais temporárias do IAM na nuvem em redes dual-stack ou traduzidas. Esta é uma correção incompleta da GHSA-2jrp-274c-jhv3 / CVE-2026-25580, cuja remediação não se manteve válida para formas codificadas em IPv6 dos IPs de metadados. Uma aplicação só está afetada se definir explicitamente um FileUrl (ImageUrl, AudioUrl, VideoUrl, DocumentUrl) com `force_download='allow-local'` numa URL influenciada por entrada não confiável; não está afetada ao utilizar integrações fornecidas para ingerir entradas do utilizador (Agent.to_web / clai web, VercelAIAdapter, AGUIAdapter / Agent.to_ag_ui), uma vez que estas não propagam o `force_download` a partir de dados externos, nem quando se descarrega apenas URLs controladas pelo programador. Este problema foi corrigido na versão 1.99.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.