Pydantic AI में वेब UI CDN URL में पथ पारगमन के माध्यम से संग्रहीत XSS (Stored XSS via Path Traversal in Web UI CDN URL)

यह XSS भेद्यता हमलावरों को Pydantic AI वेब UI के संदर्भ में मनमाना जावास्क्रिप्ट कोड चलाने की अनुमति देती है। हमलावर एक दुर्भावनापूर्ण URL बना सकते हैं और यदि कोई पीड़ित उस लिंक पर क्लिक करता है या इसे iframe के माध्यम से एक्सेस करता है, तो हमलावर-नियंत्रित कोड पीड़ित के ब्राउज़र में निष्पादित होगा। इससे हमलावर चैट इतिहास सहित क्लाइंट-साइड डेटा चुरा सकता है। इस भेद्यता का उपयोग सत्र अपहरण, फ़िशिंग हमलों और अन्य दुर्भावनापूर्ण गतिविधियों को करने के लिए किया जा सकता है। चूंकि यह वेब UI के माध्यम से संचालित होता है, इसलिए इसका प्रभाव उन उपयोगकर्ताओं तक सीमित नहीं है जो सीधे एप्लिकेशन का उपयोग करते हैं, बल्कि उन सभी तक भी विस्तारित हो सकता है जो दुर्भावनापूर्ण लिंक के संपर्क में आते हैं।

Developers and users of Pydantic AI who are utilizing Agent.to_web or clai web to serve chat interfaces, particularly those running these interfaces in environments accessible from outside the local machine (e.g., shared hosting, cloud deployments). Legacy configurations or deployments that haven't been updated to the latest version are also at increased risk.

• python / web:

import requests
import re

url = "http://localhost:8000/chat?message=<script>alert('XSS')</script>"
response = requests.get(url)

if re.search(r'<script>', response.text, re.IGNORECASE):
    print("Potential XSS vulnerability detected!")
else:
    print("No XSS detected.")

1. 2026-02-06Disclosure

   disclosure

1. आरक्षित2026-02-04
2. प्रकाशित2026-02-06
3. EPSS अद्यतन2026-03-23

CVE-2026-25640 को कम करने के लिए, Pydantic AI को संस्करण 1.51.0 या बाद के संस्करण में तुरंत अपडेट करें। यदि तत्काल अपडेट संभव नहीं है, तो वेब UI को अक्षम करने या एक्सेस को प्रतिबंधित करने पर विचार करें। वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को लागू करना जो XSS हमलों को रोकते हैं, एक अतिरिक्त सुरक्षा परत प्रदान कर सकता है। इनपुट सत्यापन और आउटपुट एन्कोडिंग तकनीकों को लागू करना भी महत्वपूर्ण है ताकि यह सुनिश्चित किया जा सके कि उपयोगकर्ता इनपुट को सुरक्षित रूप से संभाला जाए। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता का समाधान हो गया है, वेब UI की कार्यक्षमता का परीक्षण करें।