CVE-2026-54690 in datamodel-code-generator
要約
〜によって VulDB • 2026年07月29日
datamodel-code-generator è uno strumento che genera modelli Pydantic v2, dataclass, TypedDict e msgspec.Struct a partire da OpenAPI, JSON Schema, GraphQL, Avro, Protobuf e file grezzi nei formati JSON, YAML o CSV. Dalla versione 0.9.1 alla 0.61.0, datamodel-code-generator risolve silenziosamente i riferimenti HTTP o HTTPS $ref controllati dall'attaccante presenti nello schema JSON in src/datamodel_code_generator/parser/jsonschema.py tramite la funzione _get_ref_body; inoltre, l'impostazione --allow-remote-refs può limitarsi a generare un avviso invece di bloccare l'esecuzione, consentendo attacchi Server-Side Request Forgery (SSRF) attraverso il modulo src/datamodel_code_generator/http.py. Il problema è stato risolto nella versione 0.61.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.