Dans dataclasses-avroschema, le nom d’un record référencé fourni par le schéma peut être inséré dans la position appelable d’une expression default_factory générée sans validation. Un nom élaboré peut ainsi provoquer l’exécution d’une expression Python lorsque le modèle généré utilise cette valeur par défaut; la version 0.70.6 corrige le problème.
Source : NVD — CVE-2026-108376
Analyse technique
Le nom du record référencé est placé dans la position callable d’une lambda default_factory générée, sans validation préalable au regard de la grammaire Avro.
Impact, versions et correctif
Détection / vérification
Vérifier la version et l’utilisation de noms de références de records provenant de schémas non fiables.
Action recommandée
Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).