CVE-2026-107377

Nome do Software Vulnerável e Versões Afetadas datamodel-code-generator versões 0.59.0 a 0.80.0

Description Existe um problema onde um esquema Protobuf controlado por um invasor pode fornecer caminhos absolutos ou de diretórios pai. Esses caminhos são capturados por WEAK IMPORT PATTERN e processados pela função write missing weak imports() em src/datamodel code generator/parser/protobuf.py. Isso permite que os caminhos escapem do diretório temporário weak imports, possibilitando a criação de árvores de diretórios e novos arquivos, ou a sobrescrita de arquivos graváveis existentes com uma declaração de sintaxe Protobuf gerada. Isso ocorre quando uma vítima ou tarefa automatizada processa o esquema com suporte de entrada Protobuf, o que requer o pacote grpcio-tools. O efeito persiste mesmo que a compilação subsequente do Protobuf falhe. O conteúdo gravado é limitado a declarações de sintaxe proto2 ou proto3.

Recommendations Atualizar para a versão 0.81.0.