CVE-2026-107377

datamodel-code-generator sxem təriflərindən Python məlumat modelləri yaradır. 0.59.0 versiyasından 0.81.0 versiyasına qədər hücum edən tərəf tərəfindən idarə olunan Protobuf sxemi, WEAK_IMPORT_PATTERN tərəfindən tutulan və src/datamodel_code_generator/parser/protobuf.py faylındakı _write_missing_weak_imports tərəfindən istifadə edilən mütləq və ya valideyn kataloq yollarını təmin edə bilər. İstismar üçün qurbanın və ya avtomatlaşdırılmış tapşırığın, grpcio-tools paketi tələb olunan Protobuf giriş dəstəyi ilə hücum edən tərəfin idarə etdiyi sxemi emal etməsi lazımdır. Yollar protoc işə düşməzdən əvvəl weak_imports müvəqqəti kataloqundan kənara çıxır ki, bu da kataloq ağaclarının və yeni faylların yaradılmasına və ya mövcud yazıla bilən faylların generasiya edilmiş Protobuf sintaksis bəyanatı ilə üzərinə yazılmasına imkan verir. Sonradan Protobuf kompilyasiyası uğursuz olduqda belə, bu təsir qalır. Yazılan məzmun yalnız proto2 və ya proto3 sintaksis bəyanatı ilə məhdudlaşır və birbaşa ixtiyari kodun icrası nümayiş etdirilməmişdir. Bu problem 0.81.0 versiyasında düzəldilmişdir.