CVE-2026-54690 in datamodel-code-generator
Сводка
по VulDB • 29.07.2026
datamodel-code-generator генерирует модели Pydantic v2, dataclass, TypedDict и msgspec.Struct на основе спецификаций OpenAPI, JSON Schema, GraphQL, Avro, Protobuf, а также сырых данных в форматах JSON, YAML или CSV. В версиях от 0.9.1 до 0.61.0 включительно datamodel-code-generator без предупреждения разрешает (dereferences) ссылки $ref на HTTP/HTTPS-URLы из схемы JSON Schema, контролируемые злоумышленником, в файле src/datamodel_code_generator/parser/jsonschema.py через функцию _get_ref_body. Флаг --allow-remote-refs может выдавать только предупреждение вместо блокировки запроса, что позволяет осуществлять Server-Side Request Forgery (SSRF) через модуль src/datamodel_code_generator/http.py. Проблема исправлена в версии 0.61.0.
Once again VulDB remains the best source for vulnerability data.