CVE-2026-107286
Pydantic AI: Concurrency-limited models can keep their slot when a streamed request ends early
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.53.0
Обновить Pydantic AI до версии 2.53.0 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Утечка слотов конкурентности в Pydantic AI при стриминге ответов модели. Приводит к блокировке пула запросов и отказу в обслуживании (DoS).
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При использовании ConcurrencyLimitedModel или limit_model_concurrency механизм anyio.CapacityLimiter связывает выделенный слот с исходной задачей. При обрыве соединения, отмене, исключении или завершении stream_text() с debounce_by=0.1 финализация выполняется в другом контексте, из-за чего слот навсегда остается занятым.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Постепенное исчерпание пула CapacityLimiter, блокировка выполнения последующих запросов к LLM и отказ в обслуживании (DoS) сервиса.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
pydanticpydantic-ai
>= 2.10.0➔Fix: 2.53.0
pydanticpydantic-ai-slim
>= 2.10.0➔Fix: 2.53.0
——
>= 2.10.0➔Fix: 2.53.0
——
>= 2.10.0➔Fix: 2.53.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/pydantic/pydantic-ai/security/advisories/GHSA-6fqq-452j-qhrp
- github.comhttps://github.com/pydantic/pydantic-ai/pull/9478
- github.comhttps://github.com/pydantic/pydantic-ai/commit/453f19feeb7ab1d789f9393b1723c6a73b3d77b2
- github.comhttps://github.com/pydantic/pydantic-ai/releases/tag/v2.53.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-107286: Pydantic AI: Concurrency-limited models can keep their slot when a streamed request ends early. URL: https://cve.futuretools.ru/cve/CVE-2026-107286
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_107286,
title = {{CVE-2026-107286: Pydantic AI: Concurrency-limited models can keep their slot when a streamed request ends early}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-107286}},
note = {Оперативный инженерный анализ киберугроз}
}