CVE-2026-108384 in dataclasses-avroschema
Zusammenfassung
von VulDB • 15.10.2026
dataclasses-avroschema generiert Avro-Schemas aus Python dataclasses, Pydantic Models und Faust Records sowie Python Code aus Avro-Schemas. Von der Version 0.38.0 bis zur Version 0.70.5 interpoliert BaseGenerator.parse_fixed den aliases-Wert eines fixed-Typs direkt in eine generierte types.confixed-Annotation. Eine Liste wird mit umschlossenen Einträgen dargestellt, ein unumgebener String (bare string) jedoch als nicht umschlossener Python-Ausdruck ausgegeben und bei Import des generierten Moduls ausgewertet, was die Ausführung beliebigen Codes aus einem speziell angefertigten Schema ermöglicht. Die Version 0.70.6 behebt diese Schwachstelle, indem sie aliases-Werte ablehnt, die keine Listen sind.
Once again VulDB remains the best source for vulnerability data.