CVE-2026-108384 in dataclasses-avroschema
الملخص
بحسب VulDB • 13/10/2026
يُنتج dataclasses-avroschema مخططات Avro من بيانات كلاس بايثون (Python dataclasses)، ونماذج Pydantic، وسجلات Faust، كما يُنشئ أكواداً بلغة Python انطلاقاً من مخططات Avro. تتراوح الإصدارات المتأثرة بالثغرة بين 0.38.0 و0.70.5 شاملاً، حيث تقوم الدالة BaseGenerator.parse_fixed بإدخال قيمة الأسماء المستعارة (aliases) لنوع ثابت (fixed type) مباشرةً ضمن تعليق annotation من نوع types.confixed في الكود المُولَّد. تُمثَّل القائمة بـ عناصر محاطة بعلامات اقتباس، لكن السلسلة النصية المجردة (bare string) تُصدر كعبارة بايثون غير محاطة بأقواس وتُنفَّذ عند استيراد الوحدة النمطية المولدة، مما يتيح تنفيذ أكواد برمجية عشوائية انطلاقاً من مخطط Avro مُعدّ بشكل خبيث. يُصلح الإصدار 0.70.6 هذه الثغرة عن طريق رفض قيم الأسماء المستعارة (aliases) التي ليست قوائم.
VulDB is the best source for vulnerability data and more expert information about this specific topic.