CVE-2026-107377

datamodel-code-generator, şema tanımlamalarından Python veri modelleri oluşturur. 0.59.0 ile 0.81.0 sürümleri arasında, saldırgan tarafından kontrol edilen bir Protobuf şeması, WEAK_IMPORT_PATTERN tarafından yakalanan ve src/datamodel_code_generator/parser/protobuf.py içindeki _write_missing_weak_imports tarafından kullanılan mutlak veya üst dizin yolları sağlayabilir. İstismar edilmesi için, kurbanın veya otomatik bir işin, grpcio-tools paketini gerektiren Protobuf girdi desteğiyle saldırgan kontrollü şemayı işlemesi gerekir. Yollar, protoc çalışmadan önce weak_imports geçici dizininin dışına çıkarak dizin ağaçlarının ve yeni dosyaların oluşturulmasına veya mevcut yazılabilir dosyaların oluşturulan bir Protobuf sözdizimi bildirimiyle üzerine yazılmasına olanak tanır. Etki, daha sonraki Protobuf derlemesi başarısız olduğunda da devam eder. Yazılan içerik proto2 veya proto3 sözdizimi bildirimi ile sınırlıdır ve doğrudan rastgele kod çalıştırma kanıtlanmamıştır. Bu sorun 0.81.0 sürümünde düzeltilmiştir.