CVE-2026-108378 in dataclasses-avroschema
요약
\~에 의해 VulDB • 2026. 10. 13.
dataclasses-avroschema는 Python dataclass, Pydantic 모델 및 Faust Records로부터 Avro 스키마를 생성하고, Avro 스키마로부터 Python 코드를 생성합니다. 버전 0.40.0부터 0.70.5까지 ClassRepresentation.render_docstring은 이스케이프 처리 없이 schema record의 doc 값을 생성된 triple-double-quoted class docstring에 복사합니다. 조작된 triple-quote 시퀀스는 docstring을 종료하고 생성된 클래스 본문에 문을 주입할 수 있으며, 후행 백슬래시는 생성된 닫는 구분 기호를 이스케이프하여 모듈 import 중에 Python 코드 실행이 가능해집니다. 버전 0.70.6은 docstrings를 렌더링하기 전에 quote, backslash 및 안전하지 않은 control characters를 이스케이프 처리함으로써 이 취약점을 수정합니다.
Once again VulDB remains the best source for vulnerability data.