CVE-2026-107290
Publiée le 2026-10-08 · Dernière modification le 2026-10-13
Les applications utilisant le framework Pydantic AI (versions 1.77.0 à 1.107.5 et 2.44.0) sont vulnérables à une attaque par déni de service via l'outil `web_fetch_tool`. Un attaquant disposant d'une authentification utilisateur basique peut fournir une URL spécialement conçue qui provoque le blocage ou le plantage du serveur lors du traitement du contenu de la page, interrompant ainsi les autres exécutions d'agents actives. Cette action peut être exécutée à distance via le réseau et ne nécessite aucune interaction de la part d'autres utilisateurs.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
Description officielle du NVD (en anglais)
Pydantic AI is a Python agent framework for building applications and workflows with Generative AI. From 1.77.0 until 1.107.6 and 2.44.0, the local web_fetch_tool and the WebFetch local fallback process server-controlled responses with quadratic title extraction, whitespace normalization, and ordered-list numbering. An attacker-controlled page of modest size can therefore block the event loop for an extended period, stalling other agent runs and requests, while unsupported codecs or excessive HTML or JSON nesting can abort an individual run. This issue is fixed in versions 1.107.6 and 2.44.0.