dataclasses-avroschema fixed namespaces allow code injection in generated annotations
CVSS Skor
8.8
EPSS İhtimal
—
Risk Skoru
0.9
Yayın
4 sa önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
CVE AI araştırması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
2
Kaynak uyumu
Tam uyum
Kanıt güveni
%63
Kısa açıklama
dataclasses-avroschema paketinin 0.38.0 ile 0.70.5 sürümleri arasındaki BaseGenerator.parse_fixed bileşeni, sabit tip namespace değerlerini kaçış karakteri kullanmadan veya doğrulamadan eklemektedir. Bu durum, özelleştirilmiş tırnak işaretleri aracılığıyla Python kodunun sınıf tanımı sırasında değerlendirilmesine ve rastgele kod yürütülmesine olanak tanır.
Bu güvenlik açığı, saldırganların harici girdilerle oluşturulan Avro şemaları üzerinden etkilenen uygulamalarda rastgele kod çalıştırmasına olanak tanır. Gizlilik, bütünlük ve kullanılabilirlik açısından yüksek risk taşır.
Ne yapılmalı?
- Yazılım satıcısının güvenlik duyurularını takip edin
- Mümkün olan durumlarda güncellemeleri uygulayın
- Avro şeması namespace girdilerini doğrulayın
Kanıt zinciri ve kaynaklar
dataclasses-avroschema sürümleri 0.38.0 ile 0.70.5 arasında kod enjeksiyonuna karşı savunmasızdır.
BaseGenerator.parse_fixed namespace değerlerini doğrulamadan types.confixed içerisine eklemektedir.
Python sınıf tanımı sırasında değerlendirilen ifadeler rastgele kod yürütülmesine yol açar.
Kaynaklardaki teknik metni göster
dataclasses-avroschema generates Avro schemas from Python dataclasses, Pydantic models, and Faust Records and generates Python code from Avro schemas. From version 0.38.0 through 0.70.5, BaseGenerator.parse_fixed inserts a fixed type's namespace value between quotes inside a generated types.confixed annotation without escaping or validating it. A crafted quote can terminate the namespace string and alter the surrounding annotation expression, which Python evaluates when the generated class is defined, allowing arbitrary code execution. Version 0.70.6 fixes the vulnerability by requiring the namespace to be a dot-separated sequence of valid Avro names.
CVSS vektörü: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE: CWE-94
Açıklama yerel gemini-flash-lite-latest modeliyle üretildi. Sayısal metrikler, KEV, yama ve exploit durumları AI tarafından belirlenmez.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2026-108379 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
| ID | VENDOR | PRODUCT | ACTION |
|---|---|---|---|
| 1 | marcosschroh | dataclasses-avroschema | İncele |
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 8.8 | CVSS V31 | HIGH | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H | NVD |
| 8.8 | CVSS V3_1 | HIGH | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H | CVE CNA |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-108379 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-108379 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
CVSS Vektör Radar Grafiği
8.8 / 10Vulnerability Scoring Details
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HYama durumu bilinmiyor
Zafiyet Türü (CWE & CAPEC)
İlgili Benzer Açıklar
dataclasses-avroschema allows code injection through fixed-type aliases supplied as a bare string
dataclasses-avroschema enum field defaults can inject statements into generated modules
dataclasses-avroschema allows code injection through generated enum-symbol string literals
dataclasses-avroschema pydantic-class metadata allows code injection in generated annotations
dataclasses-avroschema field documentation allows code injection in generated Pydantic descriptions
dataclasses-avroschema record documentation can terminate generated class docstrings
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.daybreach.dev/api/v1/intel/cves/CVE-2026-108379"