dataclasses-avroschema: Codeinjektion über nicht maskierte Record-Docstrings
Zusammenfassung
dataclasses-avroschema generiert Python-Code aus Avro-Schemas. In den Versionen 0.40.0 bis 0.70.5 wird der doc-Wert eines Schema-Records unmaskiert in einen generierten Klassen-Docstring übernommen. Ein präpariertes Schema kann den Docstring schliessen und Python-Anweisungen einschleusen, die beim Import des generierten Moduls ausgeführt werden.
Betroffen
- dataclasses-avroschema (PyPI) von 0.40.0 bis 0.70.5 (Bereich laut CNA: >= 0.40.0, < 0.70.6)
Behoben in
- Behoben in 0.70.6 und neuer. Die Korrektur maskiert Anführungszeichen, Backslashes und unsichere Steuerzeichen in Docstrings.
Umgehung
- Unbekannt. Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
- Keinen Python-Code aus Avro-Schemas von nicht vertrauenswürdigen Parteien generieren oder importieren.
- Die Berechtigung zum Veröffentlichen von Schemas in der Schema Registry einschränken.
- doc-Felder der Schemas vor der Codegenerierung prüfen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn oder öffentlichen Proof of Concept zum Zeitpunkt der Recherche.
- CISA SSVC: Exploitation-Status 'poc', automatisierbar: nein, technische Auswirkung: total.
Unsere Empfehlung
- Python-Projekte inventarisieren, die dataclasses-avroschema verwenden, und die installierte Version prüfen.
- Auf 0.70.6 oder neuer aktualisieren; dies deckt auch verwandte Codegenerierungs-Probleme in derselben Release-Linie ab.
- Pipelines priorisieren, die externe oder von Partnern gelieferte Avro-Schemas verarbeiten.
- Codegenerierung in isolierten CI-Jobs statt auf Produktivsystemen ausführen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-ff3j-hw44-6vx4 github.com
- Release 0.70.6 github.com
- Fix commit 429f3d7 github.com
- OSV: CVE-2026-108378 osv.dev
- EUVD-2026-98964 vulners.com
- Strix CVE-2026-108378 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.