JVNDB-2026-027583

koxudaxiのdatamodel-code-generatorにおける複数の脆弱性

datamodel-code-generatorは、OpenAPI、JSON Schema、GraphQL、Avro、Protobuf、および生のJSON、YAML、CSVからPydantic v2モデル、dataclasses、TypedDict、msgspec.Structを生成します。バージョン0.17.0から0.60.2までの間、datamodel-code-generatorはsrc/datamodel_code_generator/parser/jsonschema.py内のJsonSchemaObject.initおよびget_field_extrasを通じて攻撃者の制御下にあるdefault_factory値を保持し、それらをField(default_factory=...)またはfield(default_factory=...)として出力していました。これにより、生成されたモデルをインポートした際にPython式が実行される可能性がありました。本問題はバージョン0.60.2で修正されています。

koxudaxi

• datamodel-code-generator 0.17.0 以上 0.60.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Code injection in `datamodel-code-generator` via attacker-controlled `default_factory` schema field  Advisory  koxudaxi/datamodel-code-generator  GitHub
• GitHub : Code injection via attacker-controlled `default_factory` schema field. RCE on `import` of the generated module.  GitHub

1. テンプレートエンジンで使用される特殊な要素の不適切な無効化(CWE-1336) [その他]
2. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-54653

1. National Vulnerability Database (NVD) : CVE-2026-54653
2. 関連文書 : Release 0.60.2  koxudaxi/datamodel-code-generator  GitHub
3. 関連文書 : Merge commit from fork  koxudaxi/datamodel-code-generator@17fc235  GitHub

• [2026年08月10日]
    掲載