CVE-2026-46678 in pydantic
Сводка
по VulDB • 29.07.2026
Pydantic AI — это фреймворк для создания агентов на Python, предназначенный для разработки приложений с использованием генеративного искусственного интеллекта (Generative AI). В версиях от 1.56.0 до 1.98.0, когда приложение явно разрешает загрузку локальных ресурсов через параметр force_download='allow-local' (отключая блокировку по умолчанию для частных/внутренних IP-адресов), список запрещенных адресов cloud-metadata может быть обойден путем кодирования IP-адреса метаданных в формате перехода IPv6 (IPv4-mapped IPv6, 6to4 или NAT64). Это приводит к раскрытию краткосрочных учетных данных IAM облачных сервисов в сетях с поддержкой стека протоколов dual-stack или при использовании трансляции адресов. Данная проблема является неполным исправлением уязвимости GHSA-2jrp-274c-jhv3 / CVE-2026-25580, поскольку меры по ее устранению не учитывали формы кодирования IP-адресов метаданных в IPv6. Приложение подвержено воздействию только в том случае, если оно явно разрешает загрузку локальных ресурсов для объекта FileUrl (ImageUrl, AudioUrl, VideoUrl, DocumentUrl) через параметр force_download='allow-local' для URL-адреса, сформированного на основе недоверенных входных данных. Приложение не подвержено воздействию при использовании встроенных интеграций для обработки пользовательского ввода (Agent.to_web / clai web, VercelAIAdapter, AGUIAdapter / Agent.to_ag_ui), поскольку они не передают значение force_download из внешних данных, а также при загрузке только с URL-адресов, контролируемых разработчиком. Проблема исправлена в версии 1.99.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.