Veille sécuritéBackend & données
P3Élevée
Dans dataclasses-avroschema, des valeurs de champs contrôlées par le schéma sont insérées sans échappement dans des littéraux Python générés. Une valeur élaborée peut injecter du code qui s’exécute à l’import du module généré; la correction est disponible dans la version 0.70.6.
Python
IdentifiantCVE-2026-108375
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.70.6
Source : NVD — CVE-2026-108375
Analyse technique
FieldRepresentation.get_field_default insère des valeurs de défaut de champs string, UUID, bytes et fixed dans des littéraux générés sans échappement.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par la fiche NVD le 2026-10-13T18:17:16.390Z, date comprise dans la période demandée.
ImpactExécution de code Python lors de l’import d’un module généré à partir d’un schéma spécialement conçu.
Versions affectéesdataclasses-avroschema >= 0.38.0 et <= 0.70.5.
Version corrigée0.70.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-13T18:17:16.390Z
Mise à jour2026-10-13T18:17:16.390Z
Détection / vérification
Vérifier la version de dataclasses-avroschema et si des valeurs de schéma non fiables sont utilisées pour générer du code Python.
Action recommandée
Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).