CVE-2026-54690 in datamodel-code-generator
Sumário
de VulDB • 29/07/2026
O datamodel-code-generator gera modelos Pydantic v2, dataclasses, TypedDict e msgspec.Struct a partir de OpenAPI, JSON Schema, GraphQL, Avro, Protobuf e dados brutos em formato JSON, YAML ou CSV. Da versão 0.9.1 até a 0.61.0, o datamodel-code-generator desreferencia silenciosamente URLs HTTP ou HTTPS do campo $ref controladas por um atacante no esquema JSON localizado em src/datamodel_code_generator/parser/jsonschema.py através da função _get_ref_body. Além disso, a opção --allow-remote-refs pode emitir apenas um aviso em vez de bloquear a operação, permitindo o ataque Server-Side Request Forgery (SSRF) via src/datamodel_code_generator/http.py. Este problema foi corrigido na versão 0.61.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.