mlflow/mlflow

Tighten minimum version floors for dependencies with known CVEs

Open

#23.061 geöffnet am 4. Mai 2026

Auf GitHub ansehen
 (5 Kommentare) (0 Reaktionen) (0 zugewiesene Personen)Python (3.904 Forks)batch import
good first issuehas-closing-prready

Repository-Metriken

Stars
 (17.127 Stars)
PR-Merge-Metriken
 (Durchschn. Merge 2T 9h) (246 gemergte PRs in 30 T)

Beschreibung

[!WARNING] Before submitting a PR, please make sure that:

  • A maintainer has triaged this issue and applied the ready label
  • This issue has no assignee
  • No duplicate PR exists

PRs not meeting these requirements may be automatically closed.

Summary

Dependency Current Constraint Minimum Safe Version CVE / Advisory
gitpython <4,>=3.1.9 >=3.1.47 GHSA-rpm5-65cw-6hj4, GHSA-x2qx-6953-8485
python-dotenv <2,>=0.19.0 >=1.2.2 GHSA-mf9w-mj56-hr94
protobuf <8,>=3.12.0 >=6.33.5 Multiple CVEs on older protobuf versions
requests <3,>=2.17.3 >=2.33.0 GHSA-gc5v-m9x4-r6x2
fastmcp <4,>=2.0.0 >=3.2.0 GHSA-rww4-4w9c-7733, GHSA-m8x7-r2rg-vh5g, GHSA-vv7q-7jx5-f767

Notes

  • Make sure to open a PR from a non-master branch.

  • Sign off the commit using the -s flag when making a commit:

    git commit -s -m "..."
         # ^^ make sure to use this

  • Include #{issue_number} (e.g. #123) in the PR description when opening a PR.

Contributor Guide

Research-Richtung
Aktualisieren Sie die Mindestversionsbeschränkungen für gitpython, python dotenv, protobuf, requests und fastmcp in pyproject.toml auf die im Issue aufgeführten sicheren Versionen. Führen Sie die bestehende Testsuite aus, um sicherzustellen, dass keine Regressionen auftreten. Überprüfen Sie die referenzierten CVE Advisories, um die sicheren Versionen zu bestätigen.
Tech Stack
python
Domain
backend
Issue Type
Sicherheit
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
2
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
1-3 Stunden
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
PythonGitpip
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
70