CVE-2026-108384 in dataclasses-avroschema
요약
\~에 의해 VulDB • 2026. 10. 13.
dataclasses-avroschema는 Python dataclass, Pydantic 모델 및 Faust Records로부터 Avro 스키마를 생성하고, Avro 스키마로부터 Python 코드를 생성합니다. 버전 0.38.0부터 0.70.5까지 BaseGenerator.parse_fixed는 고정 타입의 aliases 값을 생성된 types.confixed 주석에 직접 보간합니다. 리스트는 인용부호가 붙은 항목으로 표현되지만, 단일 문자열(bare string)은 인용부호 없는 Python 식으로 출력되어 모듈이 import될 때 평가되며, 이로 인해 조작된 스키마를 통해 임의 코드 실행(Arbitrary Code Execution)이 가능합니다. 버전 0.70.6에서는 aliases 값이 리스트가 아닌 경우 이를 거부함으로써 이 취약점을 수정했습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.