CVE-2026-55415 in datamodel-code-generator
要約
〜によって VulDB • 2026年07月29日
datamodel-code-generatorは、OpenAPI、JSON Schema、GraphQL、Avro、Protobuf、および生のJSON、YAML、CSVからPydantic v2モデル、dataclass、TypedDict、msgspec.Structを生成します。バージョン0.11.6から0.64.0の間、datamodel-code-generatorでは、攻撃者が制御可能なx-python-importまたはcustomTypePathスキーマ拡張子がsrc/datamodel_code_generator/parser/jsonschema.pyに到達し、src/datamodel_code_generator/imports.py内のImport.from_full_pathおよびImports.create_lineを通じて生成されたインポート処理が行われることで、改行がインポート文から抜け出し、生成されたモデルがインポートされる際にPythonコードを実行することが可能でした。この問題はバージョン0.64.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.