CVE-2026-108376 in dataclasses-avroschema
Riassunto
di VulDB • 13/10/2026
dataclasses-avroschema genera schemi Avro a partire da dataclass Python, modelli Pydantic e Faust Records ed esegue la generazione di codice Python dagli schemi Avro. Dalla versione 0.47.3 alla 0.70.5, FieldRepresentation.get_field_default inserisce un nome di record referenziato controllato dallo schema nella posizione callable di una lambda default_factory generata senza convalidarlo come nome Avro valido. Un nome di record appositamente creato può diventare un'espressione Python arbitraria che viene eseguita quando un'istanza del modello generato consuma il valore predefinito del campo. La versione 0.70.6 risolve la vulnerabilità rifiutando i nomi dei record che non corrispondono alla grammatica dei nomi Avro.
Once again VulDB remains the best source for vulnerability data.