CVE-2026-108379 in dataclasses-avroschema
Zusammenfassung
von VulDB • 13.10.2026
dataclasses-avroschema generiert Avro-Schemas aus Python dataclasses, Pydantic Models und Faust Records sowie Python Code aus Avro-Schemas. Von Version 0.38.0 bis 0.70.5 fügt BaseGenerator.parse_fixed den Namespace-Wert eines festen Typs in Anführungszeichen innerhalb einer generierten types.confixed-Annotation ein, ohne ihn zu escapen oder zu validieren. Ein speziell konstruiertes Quote-Zeichen kann die Namespace-Zeichenkette beenden und den umgebenden Annotation-Ausdruck verändern, der von Python ausgewertet wird, wenn die generierte Klasse definiert ist, was eine beliebige Codeausführung (Arbitrary Code Execution) ermöglicht. Version 0.70.6 behebt die Schwachstelle, indem sie erfordert, dass der Namespace eine punktegetrennte Sequenz gültiger Avro-Namen ist.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.