CVE-2026-108377 in dataclasses-avroschema
요약
\~에 의해 VulDB • 2026. 10. 16.
dataclasses-avroschema는 Python dataclass, Pydantic 모델 및 Faust Records로부터 Avro 스키마를 생성하고, Avro 스키마로부터 Python 코드를 생성합니다. 버전 0.62.3부터 0.70.5까지 ClassRepresentation.render_metaclass은 이스케이프 처리 없이 생성된 Python 소스의 quoted Meta.schema_name 필드에 스키마 제어 Avro 레코드 이름을 삽입합니다. 조작된 이름은 문자열 리터럴을 종료하고 생성된 클래스 본문에 문을 주입할 수 있으며, 이는 생성된 모듈이 import될 때 실행됩니다. 버전 0.70.6에서는 생성된 문자열 리터럴로 렌더링되는 스키마 값을 이스케이프 처리함으로써 이 취약점을 수정했습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.