JVNDB-2026-027581

koxudaxiのdatamodel-code-generatorにおけるサーバサイドのリクエストフォージェリの脆弱性

datamodel-code-generatorは、OpenAPI、JSON Schema、GraphQL、Avro、Protobuf、および生のJSON、YAML、CSVからPydantic v2モデル、dataclasses、TypedDict、msgspec.Structを生成するツールです。バージョン0.9.1から0.61.0までの間、datamodel-code-generatorはsrc/datamodel_code_generator/parser/jsonschema.pyの_get_ref_bodyを通じて、攻撃者が制御するJSON Schemaの$ref HTTPまたはHTTPS URLをサイレントに参照解除していました。また、--allow-remote-refsオプションはブロックの代わりに警告を出すだけであったため、src/datamodel_code_generator/http.pyを通じてサーバーサイドリクエストフォージェリを許していました。この問題はバージョン0.61.0で修正されています。

koxudaxi

• datamodel-code-generator 0.9.1 以上 0.61.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SSRF in datamodel-code-generator via JSON-Schema `$ref` to HTTP URL (silent by default)  Advisory  koxudaxi/datamodel-code-generator  GitHub

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-54690

1. National Vulnerability Database (NVD) : CVE-2026-54690
2. 関連文書 : Release 0.61.0  koxudaxi/datamodel-code-generator  GitHub
3. 関連文書 : Merge commit from fork  koxudaxi/datamodel-code-generator@5fdba4a  GitHub

• [2026年08月10日]
    掲載