Veille sécuritéBackend & données
P3Élevée
Dans dataclasses-avroschema, le namespace d’un type fixed est inséré sans validation dans une annotation Python générée. Un namespace spécialement conçu peut modifier l’expression évaluée lors de la définition de la classe et exécuter du code; la version 0.70.6 corrige le problème en validant le namespace.
Python
IdentifiantCVE-2026-108379
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.70.6
Source : NVD — CVE-2026-108379
Analyse technique
BaseGenerator.parse_fixed incorpore la valeur namespace dans une annotation types.confixed sans échappement ni validation.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par la fiche NVD le 2026-10-13T18:17:17.000Z, date comprise dans la période demandée; la fiche a aussi été mise à jour le 2026-10-13T21:17:34.343Z, encore dans la période.
ImpactExécution de code Python lorsque la classe générée est définie.
Versions affectéesdataclasses-avroschema >= 0.38.0 et <= 0.70.5.
Version corrigée0.70.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-13T18:17:17.000Z
Mise à jour2026-10-13T21:17:34.343Z
Détection / vérification
Examiner la version et les namespaces de types fixed utilisés pour générer des classes.
Action recommandée
Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).