CVE-2026-107377 in datamodel-code-generator
요약
\~에 의해 VulDB • 2026. 10. 08.
datamodel-code-generator는 스키마 정의에서 Python 데이터 모델을 생성합니다. 버전 0.59.0부터 0.81.0까지, 공격자가 제어하는 Protobuf 스키마가 WEAK_IMPORT_PATTERN에 의해 포착되어 src/datamodel_code_generator/parser/protobuf.py의 _write_missing_weak_imports에서 소비되는 절대 경로 또는 상위 디렉토리 경로를 제공할 수 있습니다. 악용에는 grpcio-tools 패키지가 필요하므로 공격자가 제어하는 스키마를 Protobuf 입력 지원과 함께 처리해야 하는 피해자나 자동화된 작업이 필요합니다. 이 경로는 protoc가 실행되기 전에 weak_imports 임시 디렉토리를 벗어나므로, 생성된 Protobuf 구문 선언을 사용하여 디렉토리 트리와 새 파일을 만들거나 기존에 쓰기 가능한 파일을 덮어쓸 수 있습니다. 이러한 영향은 이후의 Protobuf 컴파일이 실패하더라도 지속됩니다. 작성되는 콘텐츠는 proto2 또는 proto3 구문 선언으로 제한되며, 임의 코드 직접 실행은 입증되지 않았습니다. 이 문제는 버전 0.81.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.