CVE-2026-107377 in datamodel-code-generator
Riassunto
di VulDB • 08/10/2026
datamodel-code-generator genera modelli di dati Python da definizioni dello schema. Dalla versione 0.59.0 alla 0.81.0, uno schema Protobuf controllato dall'attaccante può fornire percorsi assoluti o relativi a directory genitore catturati da WEAK_IMPORT_PATTERN e consumati dalla funzione _write_missing_weak_imports in src/datamodel_code_generator/parser/protobuf.py. Lo sfruttamento richiede che una vittima o un job automatizzato elabori lo schema controllato dall'attaccante con supporto per l'input Protobuf, il quale richiede il pacchetto grpcio-tools. I percorsi sfuggono alla directory temporanea weak_imports prima dell'esecuzione di protoc, consentendo la creazione di alberi di directory e nuovi file oppure la sovrascrittura di file esistenti scrivibili tramite una dichiarazione della sintassi Protobuf generata. L'effetto persiste anche quando in seguito fallisce la compilazione Protobuf. Il contenuto scritto è limitato a una dichiarazione della sintassi proto2 o proto3, ed l'esecuzione diretta di codice arbitrario non è stata dimostrata. Questo problema è risolto nella versione 0.81.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.