PT-2026-6796
CVE-2026-25580
·
تاريخ النشر
2026-02-06
·
تاريخ التحديث
2026-08-06
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Pydantic AI من الإصدار 0.0.26 حتى 1.55.9
الوصف
توجد مشكلة تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في وظيفة تنزيل عناوين URL، وتحديدًا في الدالة
download item(). يحدث ذلك عندما تقبل التطبيقات سجل الرسائل من مصادر خارجية غير موثوقة، مما يسمح للمهاجمين بتقديم عناوين URL ضارة. وبالتالي، قد يقوم الخادم بإجراء طلبات HTTP غير مصرح بها إلى موارد الشبكة الداخلية، مثل عناوين loopback أو نطاقات IP الخاصة أو نقاط نهاية بيانات التعريف السحابية (مثل: AWS IMDSv1)، مما قد يؤدي إلى الكشف عن معلومات داخلية حساسة أو بيانات اعتماد السحابة. تؤثر هذه المشكلة على التطبيقات التي تستخدم Agent.to web أو clai web أو VercelAIAdapter أو AGUIAdapter أو Agent.to ag ui أو واجهات برمجة التطبيقات (APIs) المخصصة التي تعالج كائنات ImageUrl أو AudioUrl أو VideoUrl أو DocumentUrl من مدخلات المستخدم.التوصيات
قم بالتحديث إلى الإصدار 1.56.0 أو أحدث.
كحل مؤقت، قم بتنفيذ معالج سجل لتصفية عناوين URL التي تشير إلى عناوين IP محلية أو خاصة قبل أن تتم معالجتها بواسطة الوكيل.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾