`uv.lock` is stuck on GitPython 3.1.58 and Pillow 12.3.0

オープン
  • 何か問題がありますか？
#287 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

まだ誰も着手していません。

評価

難易度
3/5
見積もり時間
1〜2日
初心者へのやさしさ
48/100
issue の種類
バグ
明瞭さ
おおむね明確
活発さ
活発
技術スタック
github-actions, python
領域
devops, security

調査の方向性

Read pyproject.toml and the Dependabot configuration, then inspect the linked logs and PRs #275 and #277 to understand the metadata rewrite and Python version constraint. Check how the project’s supported Python versions affect both dependency updates and CI. Done means GitPython and Pillow can be updated to secure compatible versions, dependency checks pass, and lint passes without an unrelated Ruff upgrade.

索引モデルが issue の本文から書いたものです。

説明

uv.lock on master (v1.59.1) still locks GitPython 3.1.58 and Pillow 12.3.0. Both have published advisories, fixed in GitPython 3.2.1 and Pillow 13.0.0, but neither Dependabot security update can land.

  • GitPython: #275 rewrites gitpython>=3.1.58 in pyproject.toml as gitpython*, so every check fails while building the package metadata (log):

    ValueError: Dependency #4 of field `project.dependencies` is invalid: Expected semicolon (after name with no version specifier) or end
    gitpython*
             ^

    This is the same name* rewrite as dependabot/dependabot-core#15639; versioning-strategy: increase did not prevent it here. #277 also moves GitPython to 3.2.1 and passes the tests, but it also upgrades ruff to 0.17.2, which fails lint.

  • Pillow: Pillow 13.0.0 requires Python 3.11 or later, and dvsim supports 3.10, so the security update job gives up (log):

    Filtered out pillow 13.0.0 because python requirement >= 3.11 is not satisfied by python 3.10.22
The latest possible version of pillow that can be installed is 12.3.0
security_update_not_possible

Found while relocking the same packages in chipsalliance/caliptra-rtl#1545.

主要言語
Python
スター
16
フォーク
23
平均マージ
2時間 42分
マージ済み PR（30日）
3

環境構築

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

lowRISC/dvsim のほかの issue

lowRISC/dvsim の issue をすべて見る

似ている issue

Python の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。