PT-2026-65607 · Pypi · Datamodel-Code-Generator
CVE-2026-55390
·
Publicado
2026-07-28
·
Atualizado
2026-07-28
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
datamodel-code-generator versões 0.59.0 a 0.61.0
Description
Ao gerar modelos de dados Python a partir de um XML Schema usando a opção
--input-file-type xmlschema, o software resolve incorretamente os valores de schemaLocation dentro dos elementos <xs:include>, <xs:import>, <xs:redefine> e <xs:override>. Isso ocorre porque o parser não restringe o caminho resolvido ao diretório base de entrada, permitindo o uso de caminhos absolutos ou sequências de travessão de diretório como ../ para acessar arquivos locais arbitrários. Se um invasor fornecer um XSD malicioso, ele poderá ler arquivos locais e ter o conteúdo refletido nos modelos gerados. Este é um problema de travessão de caminho (path-traversal) e divulgação de informações não autenticado que permanece ativo mesmo quando a flag --no-allow-remote-refs é utilizada.Recommendations
Atualize o datamodel-code-generator para a versão 0.62.0.
Correção
Information Disclosure
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Datamodel-Code-Generator