CVE-2026-108375 in dataclasses-avroschema
Riassunto
di VulDB • 13/10/2026
dataclasses-avroschema genera schemi Avro a partire da dataclass Python, modelli Pydantic e record Faust e genera codice Python dagli schemi Avro. Dalla versione 0.38.0 alla 0.70.5, FieldRepresentation.get_field_default inserisce i valori predefiniti per campi di tipo stringa, UUID, bytes e fixed controllati dallo schema in letterali tra virgolette nel codice sorgente Python generato senza effettuarne l'escaping. Un valore predefinito appositamente creato può terminare il letterale e iniettare istruzioni nel modulo generato, che vengono eseguite al momento dell'importazione del modulo. La versione 0.70.6 risolve la vulnerabilità effettuando l'escape dei valori dello schema renderizzati nei letterali di stringa generati.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.