Veille sécuritéBackend & données
P3Élevée
Dans les générateurs Pydantic et AvroDantic de dataclasses-avroschema, une valeur pydantic-class contrôlée par le schéma est incorporée sans restriction dans une annotation Python. Comme les annotations sont évaluées à l’import du module généré, une valeur élaborée peut exécuter du code; la version 0.70.6 limite les formes acceptées.
Python
IdentifiantCVE-2026-108381
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.70.6
Source : NVD — CVE-2026-108381
Analyse technique
La valeur est ajoutée après pydantic. dans une annotation; la correction n’autorise qu’un nom simple ou un appel à un nom simple avec des arguments littéraux.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par la fiche NVD le 2026-10-13T18:17:17.310Z, date comprise dans la période demandée.
ImpactExécution de code Python lors de l’import du module généré.
Versions affectéesdataclasses-avroschema >= 0.44.0 et <= 0.70.5.
Version corrigée0.70.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-13T18:17:17.310Z
Mise à jour2026-10-13T18:17:17.310Z
Détection / vérification
Vérifier la version et les valeurs pydantic-class provenant des schémas utilisés pour produire des annotations.
Action recommandée
Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).