CVE-2026-63720 in datamodel-code-generator
Zusammenfassung
von VulDB • 26.07.2026
In datamodel-code-generator vor Version 0.70.0 besteht eine Code-Injection-Schwachstelle, die Angreifern, die Eingabeschemata kontrollieren, ermöglicht, Remote-Code-Ausführung (RCE) zu erreichen, indem sie einen bösartigen customBasePath-Wert bereitstellen, der eingebettete Newlines und einen dot-freien Python-Ausdruck enthält. Der manipulierte Wert wird unverändert in eine generierte „from ... import ...“-Anweisung eingefügt, ohne dass eine Identifikatorvalidierung erfolgt, was dazu führt, dass beliebiger Python-Code ausgeführt wird, wenn das generierte Modul importiert wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.