Veille sécuritéBackend & données
P3Élevée
Dans dataclasses-avroschema, une valeur aliases de type chaîne fournie dans un schéma pouvait être interpolée comme expression Python non citée dans le module généré, puis exécutée lors de son import. Les versions 0.38.0 à 0.70.5 sont concernées et la version 0.70.6 corrige le défaut en rejetant les valeurs aliases qui ne sont pas des listes.
Python
IdentifiantCVE-2026-108384
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.70.6
Source : NVD — CVE-2026-108384
Analyse technique
BaseGenerator.parse_fixed insère aliases dans une annotation types.confixed générée ; contrairement à une liste, une chaîne brute est émise comme expression Python non citée.
Impact, versions et correctif
Événement datéNouvelle fiche NVD publiée le 2026-10-13 ; une mise à jour ultérieure de la fiche est également datée du 2026-10-13 et le contenu décrit une vulnérabilité avec correctif.
ImpactExécution de code Python à l’import du module généré à partir d’un schéma malveillant.
Versions affectéesdataclasses-avroschema 0.38.0 à 0.70.5
Version corrigée0.70.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-13T18:17:17.750Z
Mise à jour2026-10-13T21:17:34.450Z
Action recommandée
Mettre à jour dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).