Veille sécuritéBackend & données
P3Élevée
Dans dataclasses-avroschema, des symboles d’énumération contrôlés par le schéma pouvaient injecter du code Python dans une classe d’énumération générée, exécuté à l’import du module. Les versions 0.38.0 à 0.70.5 sont concernées et la version 0.70.6 corrige le problème en échappant les valeurs rendues.
Python
IdentifiantCVE-2026-108382
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.70.6
Source : NVD — CVE-2026-108382
Analyse technique
L’énumération concernée est générée par concaténation de symboles entre guillemets ; un guillemet peut terminer la chaîne et injecter du code dans le corps de la classe. Le scénario concerne l’utilisation directe des classes de générateur.
Impact, versions et correctif
Événement datéNouvelle fiche NVD publiée le 2026-10-13 ; l’information décrit une vulnérabilité et un correctif, et non une simple modification administrative.
ImpactExécution de code Python à l’import du module généré lorsque des données de schéma malveillantes sont traitées dans le scénario décrit.
Versions affectéesdataclasses-avroschema 0.38.0 à 0.70.5
Version corrigée0.70.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-13T18:17:17.457Z
Mise à jour2026-10-13T18:17:17.457Z
Action recommandée
Mettre à jour dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).