CVE-2026-54690

إصدارات datamodel-code-generator من 0.9.1 إلى 0.60.1

توجد مشكلة تتمثل في أن البرنامج يقوم بصمت بإلغاء الإشارة إلى عناوين URL لـ HTTP أو HTTPS الواردة في قيم $ref في JSON Schema دون إجراء التحقق من صحة عنوان IP أو المضيف، أو التحقق من قائمة المخططات المسموح بها، أو التحقق من صحة إعادة التوجيه. يحدث هذا داخل الدالة get ref body() في الملف src/datamodel code generator/parser/jsonschema.py ويستخدم أداة الاسترجاع الموجودة في الملف src/datamodel code generator/http.py.

عندما يتم تعيين بوابة --allow-remote-refs على قيمتها الافتراضية None، لا يصدر النظام سوى تحذير بإهمال الميزة ويشرع في استرداد عنوان URL. ثم يتم تحليل المحتوى المسترد كمخطط فرعي ويتم تضمينه حرفياً في كود Python المصدر الذي تم إنشاؤه. وهذا يسمح لمهاجم خبيث بتقديم مخطط JSON Schema أو مستند OpenAPI مُعدّ خصيصاً يطلق هجوم تزوير الطلبات من جانب الخادم (SSRF)، مما قد يؤدي إلى التوجيه إلى عناوين داخلية عشوائية وتسريب استجابات داخلية حساسة إلى الكود الذي تم إنشاؤه. تؤثر هذه المشكلة بشكل خاص على المستخدمين الذين قاموا بتثبيت المكون الإضافي [http].

قم بتحديث datamodel-code-generator إلى الإصدار 0.61.0.

كإجراء تخفيفي مؤقت، قم بتعيين العلامة --allow-remote-refs=false صراحةً لحظر الطلبات البعيدة.