CVE-2026-108382 Inyección de código en literales de símbolos enum de dataclasses-avroschema

Qué es CVE-2026-108382

EnumRepresentation.render_symbols concatena cada símbolo enum controlado por el esquema entre comillas dobles en una asignación de enum generada; al usar las clases generadoras directamente, una comilla puede cerrar el literal e inyectar código Python arbitrario en el cuerpo de la clase, que se ejecuta al importar el módulo generado. Afecta a las versiones 0.38.0 a 0.70.5; la 0.70.6 corrige la falla escapando los valores de los símbolos.

Productos y versiones afectadas

• marcosschroh dataclasses-avroschema

  • >= 0.38.0, < 0.70.6

Qué hacer

1. Verificá si usás dataclasses-avroschema y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

dataclasses-avroschema generates Avro schemas from Python dataclasses, Pydantic models, and Faust Records and generates Python code from Avro schemas. From version 0.38.0 through 0.70.5, EnumRepresentation.render_symbols concatenates each schema-controlled enum symbol between double quotes in a generated enum assignment. When generator classes are used directly, a quote can terminate the string literal and inject arbitrary Python code into the enum class body, which executes when the generated module is imported. Version 0.70.6 fixes the vulnerability by escaping enum symbol values before rendering them.

Referencias

• github.com/marcosschroh/dataclasses-avroschema/security/advisories/GHSA-vrq9-94ww-jv3cX_REFSOURCE_CONFIRM
• github.com/marcosschroh/dataclasses-avroschema/commit/429f3d705d2d04c0c65e2ef832daed5ff91…X_REFSOURCE_MISC
• github.com/marcosschroh/dataclasses-avroschema/releases/tag/0.70.6X_REFSOURCE_MISC

Historial de la alerta

1. 13 OCT · 16:56VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.