CVE-2026-107294
Pydantic AI: Unbounded memory use when downloading remote content via web_fetch or FileUrl
CVSS 3.1Medium
6.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.107.2, 2.24.0
Обновите Pydantic AI до версий 1.107.2 или 2.24.0.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Неограниченное потребление оперативной памяти в Pydantic AI при загрузке внешнего контента. Буферизация тела HTTP-ответа выполняется до проверки лимита размера данных.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Инструменты web_fetch_tool, fallback-механизм WebFetch и загрузка медиафайлов через FileUrl (включая ImageUrl, DocumentUrl, VideoUrl, AudioUrl) считывают полный HTTP-ответ в память до валидации допустимого объема payload. При обработке контролируемого злоумышленником URL процесс выгружает произвольный объем данных.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
DoS-атака через исчерпание RAM и аварийное завершение воркера (OOM crash). Механизмы защиты от SSRF не нарушаются, дефект затрагивает исключительно доступность сервиса.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
pydanticpydantic-ai
>= 1.77.0➔Fix: 1.107.2
pydanticpydantic-ai
>= 2.0.0b1➔Fix: 2.24.0
pydanticpydantic-ai-slim
>= 1.77.0➔Fix: 1.107.2
pydanticpydantic-ai-slim
>= 2.0.0b1➔Fix: 2.24.0
——
>= 1.77.0➔Fix: 1.107.2
——
>= 2.0.0b1➔Fix: 2.24.0
——
>= 1.77.0➔Fix: 1.107.2
——
>= 2.0.0b1➔Fix: 2.24.0
——
>= 1.77.0➔Fix: 1.107.2
——
>= 2.0.0b1➔Fix: 2.24.0
——
>= 1.77.0➔Fix: 1.107.2
——
>= 2.0.0b1➔Fix: 2.24.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/pydantic/pydantic-ai/security/advisories/GHSA-v2xh-2vp8-57h8
- github.comhttps://github.com/pydantic/pydantic-ai/pull/7141
- github.comhttps://github.com/pydantic/pydantic-ai/pull/7308
- github.comhttps://github.com/pydantic/pydantic-ai/commit/7a64d049c3f5271a975cd1d64b2fa876d83ede1d
- github.comhttps://github.com/pydantic/pydantic-ai/commit/e3824a58c82864ed26afb2887619834a4eb86cc8
- github.comhttps://github.com/pydantic/pydantic-ai/releases/tag/v1.107.2
- github.comhttps://github.com/pydantic/pydantic-ai/releases/tag/v2.24.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-107294: Pydantic AI: Unbounded memory use when downloading remote content via web_fetch or FileUrl. URL: https://cve.futuretools.ru/cve/CVE-2026-107294
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_107294,
title = {{CVE-2026-107294: Pydantic AI: Unbounded memory use when downloading remote content via web_fetch or FileUrl}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-107294}},
note = {Оперативный инженерный анализ киберугроз}
}