CVE-2026-46678
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W Pydantic AI przed wersją 1.99.0, gdy aplikacja włączy force_download='allow-local' dla URL, lista blokad metadanych chmury może zostać ominięta przez zakodowanie adresu IP metadanych w formie IPv6 (np. IPv4-mapped IPv6). Może to ujawnić krótkoterminowe poświadczenia IAM chmury.
Ocena ryzyka
Ryzyko polega na możliwości wycieku poświadczeń IAM chmury (np. AWS, GCP) przez atakującego, który może kontrolować URL pobierania pliku, co może prowadzić do nieautoryzowanego dostępu do zasobów chmurowych.
Rekomendacja
Zaleca się aktualizację Pydantic AI do wersji 1.99.0 lub nowszej oraz unikanie używania force_download='allow-local' z niezaufanymi URL-ami.
Inne podatności w Pydantic AI
Zobacz wszystkie- CVE-2026-65975Średnie
W Pydantic AI przed wersjami 1.107.1 i 2.5.0, adaptery UI (AG-UI i Vercel AI) nieprawidłowo usuwają niezałatwione wywołania narzędzi z historii wiadomości. Klient może spowodować wykonanie zarejestrowanego narzędzia serwera z argumentami dostarczonymi przez klienta, omijając model i związane z nim zabezpieczenia.
- CVE-2026-54249Średnie
W Pydantic AI przed wersjami 1.106.0 i 2.0.0b6, adapter UI (np. Vercel AI) nie waliduje referencji UploadedFile. Klient może odwołać się do dowolnych plików w koncie dostawcy modelu lub chmurze, używając tożsamości serwera, co może prowadzić do nieautoryzowanego odczytu danych.
- CVE-2026-48782Średnie
W wersjach 1.56.0 do 1.101.0 oraz 2.0.0b1 i 2.0.0b2 frameworka Pydantic AI, blokada metadanych w chmurze mogła zostać ominięta poprzez kodowanie adresu IP metadanych w formie przejściowej IPv6, co prowadziło do ujawnienia krótkoterminowych poświadczeń IAM w chmurze. Poprzednia poprawka nie dekodowała wszystkich form przejściowych IPv6, co skutkowało luką w zabezpieczeniach.
- CVE-2026-25580Wysokie
W Pydantic AI w wersjach od 0.0.26 do 1.56.0 występuje podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji pobierania URL. Atakujący może wysłać złośliwy URL w historii wiadomości, co powoduje, że serwer wykonuje żądania HTTP do wewnętrznych zasobów sieciowych.
- CVE-2026-25640Wysokie
W Pydantic AI w wersjach od 1.34.0 do 1.50.0 wykryto podatność na path traversal w interfejsie webowym. Atakujący może skonstruować złośliwy URL, który powoduje pobranie i wykonanie dowolnego kodu JavaScript z zewnętrznego źródła na tym samym CDN, zamiast legalnego pakietu UI. Podatność dotyczy aplikacji korzystających z Agent.to_web lub clai web do udostępniania interfejsu czatu.
Oryginalny opis (angielski, źródło NVD)
Pydantic AI is a Python agent framework for building Generative AI applications. In versions 1.56.0 through 1.98.0, when an application opts a URL into force_download='allow-local' (disabling the default block on private/internal IPs), the cloud-metadata blocklist could be bypassed by encoding the metadata IP in an IPv6 transition form (IPv4-mapped IPv6, 6to4, or NAT64), exposing cloud IAM short-term credentials on dual-stack or translated networks. This is an incomplete fix of GHSA-2jrp-274c-jhv3 / CVE-2026-25580, whose remediation did not hold for IPv6-encoded forms of the metadata IPs. An application is affected only if it explicitly opts a FileUrl (ImageUrl, AudioUrl, VideoUrl, DocumentUrl) into force_download='allow-local' on a URL influenced by untrusted input; it is not affected when using bundled integrations to ingest user input (Agent.to_web / clai web, VercelAIAdapter, AGUIAdapter / Agent.to_ag_ui), since they do not propagate force_download from external data, nor when downloading only from developer-controlled URLs. This issue has been fixed in version 1.99.0.