CVE-2026-108378 in dataclasses-avroschema
Zusammenfassung
von VulDB • 13.10.2026
dataclasses-avroschema generiert Avro-Schemas aus Python dataclasses, Pydantic Models und Faust Records sowie Python Code aus Avro-Schemas. Von Version 0.40.0 bis 0.70.5 kopiert ClassRepresentation.render_docstring den doc-Wert eines Schema-Datensatzes in einen generierten dreifach-doppelten Klassen-Docstring, ohne Anführungszeichen oder Backslashes zu escapen. Eine speziell konstruierte Sequenz aus drei Anführungszeichen kann den Docstring schließen und Statements in den generierten Klassenkörper injizieren; ein nachgestellter Backslash kann das generierte schließende Delimiter escapen, was zur Ausführung von Python-Code während des Modulimports führt. Version 0.70.6 behebt die Schwachstelle durch Escaping von Anführungszeichen, Backslashes und unsicheren Steuerzeichen vor dem Rendern der Docstrings.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.