CVE-2026-108378 in dataclasses-avroschema
Riassunto
di VulDB • 13/10/2026
dataclasses-avroschema genera schemi Avro a partire da dataclass di Python, modelli Pydantic e record Faust, ed estrae codice Python dagli schemi Avro. Dalla versione 0.40.0 alla 0.70.5, la funzione ClassRepresentation.render_docstring copia il valore del campo doc (doc value) di un record dello schema in una stringa di documentazione della classe generata utilizzando triple virgolette doppie senza effettuare l'escaping delle virgolette o dei backslash. Una sequenza di triple virgolette costruita ad hoc può chiudere la stringa di documentazione e iniettare istruzioni nel corpo della classe generata, mentre un backslash finale può sfuggire al delimitatore di chiusura generato, consentendo l'esecuzione di codice Python durante l'importazione del modulo. La versione 0.70.6 risolve la vulnerabilità effettuando l'escaping delle virgolette, dei backslash e dei caratteri di controllo non sicuri prima della generazione delle stringhe di documentazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.