CVE-2026-108378
Açıklama
dataclasses-avroschema; Python dataclass'ları, Pydantic modelleri ve Faust Record'larından Avro şemaları oluşturur ve Avro şemalarından Python kodu üretir. 0.40.0 ile 0.70.5 versiyonları arasında, ClassRepresentation.render_docstring bir şema kaydının doc değerini, tırnak işaretlerini veya ters eğik çizgileri kaçırmadan (escaping) oluşturulan üçlü çift tırnaklı sınıf dokümantasyon dizisine (docstring) kopyalar. Özel olarak hazırlanmış bir üçlü tırnak dizisi, dokümantasyon dizisini kapatıp oluşturulan sınıf gövdesine ifadeler enjekte edebilirken, sondaki bir ters eğik çizgi oluşturulan kapatma sınırlayıcısını etkisiz hale getirerek modül içe aktarma sırasında Python kodu çalıştırılmasına izin verebilir. Versiyon 0.70.6, dokümantasyon dizilerini işlemeden önce tırnak işaretlerini, ters eğik çizgileri ve güvenli olmayan kontrol karakterlerini kaçırarak bu güvenlik açığını giderir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| marcosschroh dataclasses-avroschema | >= 0.40.0, < 0.70.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.