CVE-2026-108380 in dataclasses-avroschema
Riassunto
di VulDB • 13/10/2026
dataclasses-avroschema genera schemi Avro a partire da dataclass di Python, modelli Pydantic e record Faust, ed estrae codice Python dagli schemi Avro. Dalla versione 0.65.9 alla 0.70.5, la funzione `PydanticFieldRepresentation.add_field_properties` inserisce il valore della descrizione (doc) del campo dello schema tra le virgolette dell'argomento di una chiamata a `pydantic.Field` generata senza effettuare l'escaping necessario. Una stringa contenente un apice manipolato ad hoc può terminare la stringa e iniettare un'espressione che viene valutata durante la definizione della classe generata, consentendo l'esecuzione arbitraria di codice Python nella generazione dei modelli Pydantic e AvroDantic. La versione 0.70.6 risolve la vulnerabilità effettuando correttamente l'escaping del valore di documentazione prima della sua renderizzazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.