CVE-2026-108380 in dataclasses-avroschema
Zusammenfassung
von VulDB • 13.10.2026
dataclasses-avroschema generiert Avro-Schemas aus Python dataclasses, Pydantic Models und Faust Records sowie Python Code aus Avro-Schemas. Von der Version 0.65.9 bis zur Version 0.70.5 fügt PydanticFieldRepresentation.add_field_properties den doc-Wert eines Schema-Felds in die Anführungszeichen des Arguments für ein generiertes pydantic.Field description-Argument ein, ohne ihn zu escapen. Ein speziell konstruierter Quote-Zeichen kann den String beenden und einen Ausdruck injizieren, der während der Definition der generierten Klasse ausgewertet wird, was eine beliebige Python Code-Ausführung bei der Generierung von Pydantic- und AvroDantic Models ermöglicht. Die Version 0.70.6 behebt die Schwachstelle durch Escaping des Dokumentation-Werts vor dem Rendern.
Once again VulDB remains the best source for vulnerability data.