Dans dataclasses-avroschema, les symboles d’énumération issus du schéma pouvaient être utilisés comme noms de membres générés sans validation d’identifiant, permettant d’altérer le corps de classe généré ou d’empêcher le chargement du module. Les versions 0.38.0 à 0.70.5 sont concernées et la version 0.70.6 corrige le défaut en validant chaque symbole comme nom.
Source : NVD — CVE-2026-108385
Analyse technique
parse_enum et EnumRepresentation.render_symbols utilisent les symboles convertis en casse comme noms de membres sans validation ; des retours à la ligne et signes de ponctuation peuvent introduire des instructions contraintes dans le corps de classe.
Impact, versions et correctif
Action recommandée
Mettre à jour dataclasses-avroschema vers la version 0.70.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).