CVE-2026-65975
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W Pydantic AI przed wersjami 1.107.1 i 2.5.0, adaptery UI (AG-UI i Vercel AI) nieprawidłowo usuwają niezałatwione wywołania narzędzi z historii wiadomości. Klient może spowodować wykonanie zarejestrowanego narzędzia serwera z argumentami dostarczonymi przez klienta, omijając model i związane z nim zabezpieczenia.
Ocena ryzyka
Ryzyko polega na możliwości wykonania narzędzi serwera z dowolnymi argumentami przez zdalnego klienta, co może prowadzić do nieautoryzowanych działań, szczególnie w aplikacjach, które polegają na hookach przed modelem do kontroli dostępu.
Rekomendacja
Zaleca się aktualizację Pydantic AI do wersji 1.107.1 lub 2.5.0 w zależności od używanej gałęzi.
Inne podatności w Pydantic AI
Zobacz wszystkie- CVE-2026-54249Średnie
W Pydantic AI przed wersjami 1.106.0 i 2.0.0b6, adapter UI (np. Vercel AI) nie waliduje referencji UploadedFile. Klient może odwołać się do dowolnych plików w koncie dostawcy modelu lub chmurze, używając tożsamości serwera, co może prowadzić do nieautoryzowanego odczytu danych.
- CVE-2026-46678Średnie
W Pydantic AI przed wersją 1.99.0, gdy aplikacja włączy force_download='allow-local' dla URL, lista blokad metadanych chmury może zostać ominięta przez zakodowanie adresu IP metadanych w formie IPv6 (np. IPv4-mapped IPv6). Może to ujawnić krótkoterminowe poświadczenia IAM chmury.
- CVE-2026-48782Średnie
W wersjach 1.56.0 do 1.101.0 oraz 2.0.0b1 i 2.0.0b2 frameworka Pydantic AI, blokada metadanych w chmurze mogła zostać ominięta poprzez kodowanie adresu IP metadanych w formie przejściowej IPv6, co prowadziło do ujawnienia krótkoterminowych poświadczeń IAM w chmurze. Poprzednia poprawka nie dekodowała wszystkich form przejściowych IPv6, co skutkowało luką w zabezpieczeniach.
- CVE-2026-25580Wysokie
W Pydantic AI w wersjach od 0.0.26 do 1.56.0 występuje podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji pobierania URL. Atakujący może wysłać złośliwy URL w historii wiadomości, co powoduje, że serwer wykonuje żądania HTTP do wewnętrznych zasobów sieciowych.
- CVE-2026-25640Wysokie
W Pydantic AI w wersjach od 1.34.0 do 1.50.0 wykryto podatność na path traversal w interfejsie webowym. Atakujący może skonstruować złośliwy URL, który powoduje pobranie i wykonanie dowolnego kodu JavaScript z zewnętrznego źródła na tym samym CDN, zamiast legalnego pakietu UI. Podatność dotyczy aplikacji korzystających z Agent.to_web lub clai web do udostępniania interfejsu czatu.
Oryginalny opis (angielski, źródło NVD)
Pydantic AI is a Python agent framework for building applications and workflows with Generative AI. In versions 1.88.0 up to but not including 1.107.1 and 2.0.0b1 up to but not including 2.5.0, the UI adapters (AG-UI via Agent.to_ag_ui()/AGUIAdapter, and Vercel AI via VercelAIAdapter) use sanitize_messages to strip unresolved ("dangling") client-submitted tool calls from untrusted message history before it reaches the agent, a defense-in-depth default that prevents the agent from executing tool calls the model never emitted. However, the strip anchored to a message index computed before sanitization ran, so when a trailing client message sanitized to empty and was dropped (for example a client system message under the default manage_system_prompt='server'), a preceding assistant response carrying an unresolved tool call became the new tail and was dispatched without inspection. As a result, a remote client could cause a registered, non-approval server tool to run with client-supplied arguments rather than arguments the model produced. The impact is bounded by what the affected tools do and is most significant for applications that gate tool execution in a model-request hook (before_model_request / after_model_request), since a forged call skips the model turn and bypasses that guardrail; approval-gated tools (requires_approval=True) are not auto-executed by this path. This issue has been fixed in versions 1.107.1 and 2.5.0.