Veille sécuritéBackend & données
P3Élevée
Dans dataclasses-avroschema, la documentation d’un champ contrôlée par le schéma est insérée sans échappement dans l’argument description d’un champ Pydantic généré. Une valeur élaborée peut injecter une expression Python exécutée lors de la définition de la classe; la version 0.70.6 corrige le problème.
Python
IdentifiantCVE-2026-108380
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.70.6
Source : NVD — CVE-2026-108380
Analyse technique
PydanticFieldRepresentation.add_field_properties insère la valeur doc dans une chaîne générée sans l’échapper.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par la fiche NVD le 2026-10-13T18:17:17.157Z, date comprise dans la période demandée; la fiche a aussi été mise à jour le 2026-10-13T19:18:04.567Z, encore dans la période.
ImpactExécution de code Python lors de la génération et de la définition de modèles Pydantic ou AvroDantic.
Versions affectéesdataclasses-avroschema >= 0.65.9 et <= 0.70.5.
Version corrigée0.70.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-13T18:17:17.157Z
Mise à jour2026-10-13T19:18:04.567Z
Détection / vérification
Vérifier la version et l’utilisation de schémas non fiables pour générer des modèles Pydantic ou AvroDantic.
Action recommandée
Mettre à niveau dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).