CVE-2026-108381 Inyección de código en anotaciones generadas por dataclasses-avroschema
Los generadores de modelos Pydantic y AvroDantic insertan el valor pydantic-class de un campo del esquema después de pydantic. en una anotación de campo generada sin restringir la expresión; como las anotaciones se evalúan al importar el módulo generado, un valor manipulado puede ejecutar código Python arbitrario. Afecta a las versiones 0.44.0 a 0.70.5; la 0.70.6 corrige la falla restringiendo el valor a un nombre simple o a una llamada a un nombre simple con argumentos literales.
CVSS 3.1
- Probabilidad de explotación0,3 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
marcosschroh dataclasses-avroschema
>= 0.44.0, < 0.70.6
Qué hacer
- Verificá si usás dataclasses-avroschema y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
dataclasses-avroschema generates Avro schemas from Python dataclasses, Pydantic models, and Faust Records and generates Python code from Avro schemas. From version 0.44.0 through 0.70.5, the Pydantic and AvroDantic model generators insert a schema field's pydantic-class value after pydantic. in a generated field annotation without safely restricting the expression. Because annotations are evaluated when the generated module is imported, a crafted value can execute arbitrary Python code. Version 0.70.6 fixes the vulnerability by restricting the value to a bare name or a call to a bare name with literal arguments.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.