CVE-2026-107287
Pydantic AI: Excessive resource use when local web fetching converts nested HTML
CVSS 3.1Medium
6.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.107.7, 2.52.0
Обновите библиотеку Pydantic AI до версий 1.107.7 или 2.52.0.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Неконтролируемое потребление ресурсов CPU и RAM в Pydantic AI при парсинге вложенного HTML в Markdown.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Инструменты local web_fetch_tool и локальный фолбэк WebFetch в Pydantic AI циклически повторно обрабатывают накопленный текст при конвертации HTML-to-Markdown для глубоко вложенных блочных элементов до применения лимита возвращаемого контента.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Отказ в обслуживании (DoS) из-за блокировки процесса агента, утечки памяти и чрезмерной утилизации процессорных ресурсов.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
pydanticpydantic-ai
>= 1.77.0➔Fix: 1.107.7
pydanticpydantic-ai
>= 2.0.0b1➔Fix: 2.52.0
pydanticpydantic-ai-slim
>= 1.77.0➔Fix: 1.107.7
pydanticpydantic-ai-slim
>= 2.0.0b1➔Fix: 2.52.0
——
>= 1.77.0➔Fix: 1.107.7
——
>= 2.0.0b1➔Fix: 2.52.0
——
>= 1.77.0➔Fix: 1.107.7
——
>= 2.0.0b1➔Fix: 2.52.0
——
>= 1.77.0➔Fix: 1.107.7
——
>= 2.0.0b1➔Fix: 2.52.0
——
>= 1.77.0➔Fix: 1.107.7
——
>= 2.0.0b1➔Fix: 2.52.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/pydantic/pydantic-ai/security/advisories/GHSA-v36g-jcw9-x7cw
- github.comhttps://github.com/pydantic/pydantic-ai/pull/8984
- github.comhttps://github.com/pydantic/pydantic-ai/pull/8985
- github.comhttps://github.com/pydantic/pydantic-ai/commit/2b247add4950bef61d352e7ca8aefbd20539180c
- github.comhttps://github.com/pydantic/pydantic-ai/commit/2fd38792693da00a3ca5412aeffb436787af3545
- github.comhttps://github.com/pydantic/pydantic-ai/releases/tag/v1.107.7
- github.comhttps://github.com/pydantic/pydantic-ai/releases/tag/v2.52.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-107287: Pydantic AI: Excessive resource use when local web fetching converts nested HTML. URL: https://cve.futuretools.ru/cve/CVE-2026-107287
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_107287,
title = {{CVE-2026-107287: Pydantic AI: Excessive resource use when local web fetching converts nested HTML}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-107287}},
note = {Оперативный инженерный анализ киберугроз}
}