Veille sécuritéBackend & données
P3Élevée
Dans dataclasses-avroschema, un nom de record Avro contrôlé par le schéma est copié sans échappement dans le champ Meta.schema_name du code Python généré. Un nom élaboré peut injecter des instructions exécutées à l’import du module; la version 0.70.6 corrige cette faille.
Python
IdentifiantCVE-2026-108377
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.70.6
Source : NVD — CVE-2026-108377
Analyse technique
ClassRepresentation.render_metaclass insère le nom de record dans un littéral de chaîne généré sans l’échapper.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par la fiche NVD le 2026-10-13T18:17:16.697Z, date comprise dans la période demandée.
ImpactExécution de code Python lors de l’import du module généré.
Versions affectéesdataclasses-avroschema >= 0.62.3 et <= 0.70.5.
Version corrigée0.70.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-13T18:17:16.697Z
Mise à jour2026-10-13T18:17:16.697Z
Détection / vérification
Vérifier la version et si des schémas non fiables sont employés pour générer des modèles.
Action recommandée
Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).