dataclasses-avroschema: Code-Injection in generierten Pydantic-Modellen
Zusammenfassung
dataclasses-avroschema erzeugt aus Avro-Schemas und Python-Modellen Python-Code. Der doc-Wert eines Schema-Feldes wird ohne Escaping in eine generierte pydantic.Field-Beschreibung eingefügt, daher kann ein gezielt gesetztes Anführungszeichen den String beenden und Python-Ausdrücke einschleusen. Der eingeschleuste Code wird bei der Auswertung der generierten Klassendefinition ausgeführt, betroffen ist die Modellgenerierung für Pydantic und AvroDantic.
Betroffen
- dataclasses-avroschema von 0.65.9 bis 0.70.5 (CNA-Eintrag: >= 0.65.9, < 0.70.6)
- Betroffene Modelltypen: pydantic und avrodantic
Behoben in
- Version 0.70.6 (maskiert den Dokumentationswert vor der Ausgabe)
Umgehung
Unbekannt. Der Hersteller dokumentiert in der Sicherheitsmitteilung keine Workaround.
Ausnutzung
- CISA SSVC führt die Ausnutzung als 'poc' (Proof of Concept) und die Automatisierbarkeit als 'no'.
- Die Verfügbarkeit öffentlicher Exploits wird von verschiedenen Trackern uneinheitlich angegeben: einige melden keinen öffentlichen PoC oder Exploit.
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Prüfen Sie mit 'pip show dataclasses-avroschema' sowie in Requirements- und Lock-Dateien, ob das Paket eingesetzt wird.
- Aktualisieren Sie auf Version 0.70.6 oder neuer.
- Bis zur Aktualisierung Code nur aus vertrauenswürdigen Schemas generieren und generierte Module nicht aus unbekannten Quellen importieren.
- Prüfen Sie doc-Felder in Schemas, die von externen Parteien stammen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-g7p7-mgvm-jw7p github.com
- Fix commit 429f3d7 github.com
- Pull request #843 github.com
- Release 0.70.6 github.com
- OSV entry CVE-2026-108380 osv.dev
- VulDB entry 417867 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:42.
Referenzen der NVD (5)
- https://github.com/marcosschroh/dataclasses-avroschema/commit/429f3d705d2d04c0c65e2ef832daed5ff91318fc
- https://github.com/marcosschroh/dataclasses-avroschema/pull/843
- https://github.com/marcosschroh/dataclasses-avroschema/releases/tag/0.70.6
- https://github.com/marcosschroh/dataclasses-avroschema/security/advisories/GHSA-g7p7-mgvm-jw7p
- https://github.com/marcosschroh/dataclasses-avroschema/security/advisories/GHSA-g7p7-mgvm-jw7p
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.