Injection dans le code généré à partir d’une valeur par défaut d’énumération

Veille sécuritéBackend & données

P3Élevée

Dans dataclasses-avroschema, une valeur par défaut d’énumération contrôlée par le schéma pouvait être insérée dans le code généré sans validation comme identifiant, permettant d’injecter des instructions contraintes ou d’empêcher le chargement du module. Les versions 0.38.0 à 0.70.5 sont concernées et la version 0.70.6 corrige le problème en validant ces valeurs comme noms.

IdentifiantCVE-2026-108383

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.70.6

Source : NVD — CVE-2026-108383

Analyse technique

FieldRepresentation.get_field_default applique une conversion de casse puis rend la valeur comme référence de membre d’énumération sans vérifier qu’elle constitue un identifiant valide. Des retours à la ligne, opérateurs ou signes de ponctuation peuvent altérer le code généré.

Impact, versions et correctif

Événement datéNouvelle fiche NVD publiée le 2026-10-13 ; l’information décrit une vulnérabilité et un correctif, et non une simple modification administrative.

ImpactModification de l’espace de noms ou échec du chargement du module généré à partir d’un schéma conçu à cette fin.

Versions affectéesdataclasses-avroschema 0.38.0 à 0.70.5

Version corrigée0.70.6

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

Publication2026-10-13T18:17:17.610Z

Mise à jour2026-10-13T18:17:17.610Z

Action recommandée

Mettre à jour dataclasses-avroschema vers la version 0.70.6 ou ultérieure.

Sources

NVD — CVE-2026-108383

Priorisation DFS : P3 · 1 source(s).