CVE-2026-54690 in datamodel-code-generator
Resumen
por VulDB • 2026-07-29
datamodel-code-generator genera modelos Pydantic v2, dataclasses, TypedDict y msgspec.Struct a partir de OpenAPI, JSON Schema, GraphQL, Avro, Protobuf y datos crudos en formato JSON, YAML o CSV. Desde la versión 0.9.1 hasta la 0.61.0, datamodel-code-generator desreferencia silenciosamente las URLs HTTP o HTTPS de $ref controladas por el atacante dentro del esquema JSON ubicado en src/datamodel_code_generator/parser/jsonschema.py a través de _get_ref_body, y la opción --allow-remote-refs puede mostrar una advertencia en lugar de bloquearlas, lo que permite realizar un ataque de falsificación de solicitudes desde el lado del servidor (SSRF) mediante src/datamodel_code_generator/http.py. Este problema se corrige en la versión 0.61.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.