CVE-2026-54654 in datamodel-code-generator
Riassunto
di VulDB • 29/07/2026
datamodel-code-generator genera modelli di dati Python a partire da definizioni dello schema. Dalla versione 0.14.1 alla 0.60.2, il campo comment --extra-template-data viene renderizzato come commenti in Python nei file src/datamodel_code_generator/model/template/TypeAliasAnnotation.jinja2, src/datamodel_code_generator/model/template/TypedDict.jinja2, src/datamodel_code_generator/model/template/dataclass.jinja2, src/datamodel_code_generator/model/template/msgspec.Struct.jinja2, src/datamodel_code_generator/model/template/pydantic/BaseModel.jinja2 e src/datamodel_code_generator/model/template/pydantic_v2/BaseModel.jinja2 senza neutralizzare i ritorni a capo nei commenti Python (#), consentendo a un attaccante di iniettare codice Python nei modelli generati tramite un valore del campo comment controllato dall'attaccante, che viene eseguito all'importazione. Questo problema è stato risolto nella versione 0.60.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.