CVE-2026-63720
datamodel-code-generator Injeção de Código via Campo de Schema customBasePath Não Validado
- Publicado
- 26 de jul. de 2026
- Atualizado
- 14 de ago. de 2026
- Atribuindo CNA
- VulnCheck
- Evidência observada
- 10 de ago. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBaixo · próximos 30 dias
- Percentil
- 53,6%
- Data do modelo
- 17 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
datamodel-code-generator anterior à versão 0.70.0 contém uma vulnerabilidade de injeção de código que permite que atacantes que controlam os esquemas de entrada alcancem execução remota de código ao fornecer um valor malicioso de customBasePath contendo quebras de linha incorporadas e uma expressão Python sem pontos. O valor criado é emitido literalmente em uma instrução gerada 'from ... import ...' sem validação de identificador, fazendo com que código Python arbitrário seja executado quando o módulo gerado é importado.
Fontes
Injeção de código (RCE) no datamodel-code-generator via customBasePath não validado (CVE-2026-63720)
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.