Veille sécuritéBackend & données
P3Élevée
Dans dataclasses-avroschema, la documentation d’un record est copiée sans échappement dans une docstring Python générée. Des guillemets ou antislashs élaborés peuvent injecter du code exécuté à l’import du module; la version 0.70.6 corrige le rendu des docstrings.
Python
IdentifiantCVE-2026-108378
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.70.6
Source : NVD — CVE-2026-108378
Analyse technique
ClassRepresentation.render_docstring ne neutralise pas les guillemets, antislashs ni caractères de contrôle dangereux avant de produire une docstring triple-quoted.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par la fiche NVD le 2026-10-13T18:17:16.857Z, date comprise dans la période demandée.
ImpactExécution de code Python lors de la définition de la classe générée à l’import.
Versions affectéesdataclasses-avroschema >= 0.40.0 et <= 0.70.5.
Version corrigée0.70.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-13T18:17:16.857Z
Mise à jour2026-10-13T18:17:16.857Z
Détection / vérification
Vérifier la version et la génération de code à partir de schémas dont les docstrings ne sont pas fiables.
Action recommandée
Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).