Le traitement de certaines réponses contrôlées par un serveur distant pouvait bloquer la boucle d’événements pendant une durée importante, ou faire échouer l’exécution d’un agent. Le risque concerne les applications exposant cet outil à des invites non fiables; mettre à niveau vers une version corrigée.
Source : GHSA-fpf4-vwcp-v4hp — Pydantic AI
Analyse technique
L’extraction du titre et plusieurs étapes de conversion HTML en Markdown avaient une complexité quadratique. Le décodage selon le charset déclaré s’effectuait aussi sur la boucle d’événements; les correctifs déplacent le traitement vers un thread et rendent les étapes concernées linéaires.
Impact, versions et correctif
Détection / vérification
Vérifier si l’application enregistre l’outil local web_fetch ou utilise le fallback local de WebFetch, et identifier les versions installées.
Action recommandée
Mettre à niveau vers pydantic-ai ou pydantic-ai-slim 1.107.6 ou ultérieur sur la branche 1.x, ou 2.44.0 ou ultérieur sur la branche 2.x.
Sources
Priorisation DFS : P4 · 2 source(s).