CVE-2026-108384 in dataclasses-avroschema
Riassunto
di VulDB • 14/10/2026
dataclasses-avroschema genera schemi Avro da dataclass di Python, modelli Pydantic e record Faust e genera codice Python dagli schemi Avro. Dalla versione 0.38.0 alla 0.70.5, BaseGenerator.parse_fixed interpola direttamente il valore degli alias di un tipo fixed in una annotazione types.confixed generata nel file .py. Una lista è rappresentata con voci tra virgolette, ma una stringa non contenuta in una lista viene emessa come espressione Python non quotata e valutata quando il modulo generato viene importato, consentendo l'esecuzione di codice arbitrario a partire da uno schema appositamente creato (crafted). La versione 0.70.6 risolve la vulnerabilità rifiutando i valori degli alias che non sono liste.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.