requests-2.32.4-py3-none-any.whl: 1 vulnerabilities (highest severity is: 4.4)
まだ誰も着手していません。
評価
調査の方向性
まず、スキャンパスで参照されている sql-cli リポジトリ内の依存関係宣言を見つけ、requests 2.32.4 がどこで固定されているかを確認します。CVE-2026-25645 の詳細を確認し、直接依存関係を修正版の 2.33.0 リリースに更新してから、プロジェクトで利用可能なテストまたは依存関係スキャンを実行し、脆弱なバージョンがなくなったことを確認します。
索引モデルが issue の本文から書いたものです。
説明
Vulnerable Library - requests-2.32.4-py3-none-any.whl
Python HTTP for Humans.
Library home page: https://files.pythonhosted.org/packages/7c/e4/56027c4a6b4ae70ca9de302488c5ca95ad4a39e190093d6c1a8ace08341b/requests-2.32.4-py3-none-any.whl
Path to dependency file: /tmp/ws-scm/sql-cli
Path to vulnerable library: /tmp/ws-ua_20260518195424_ZCYUWM/python_XKNQIE/202605181954251/env/lib/python3.12/site-packages/requests-2.32.4.dist-info
Found in HEAD commit: 68212e0c681da02608aa39ca6a7234d5a082124e
Vulnerabilities
| Vulnerability | Severity |  CVSS |
Dependency | Type | Fixed in (requests version) | Remediation Possible** |
|---|---|---|---|---|---|---|
| CVE-2026-25645 |  Medium |
4.4 | requests-2.32.4-py3-none-any.whl | Direct | https://github.com/psf/requests.git - v2.33.0 | ✅ |
**In some cases, Remediation PR cannot be created automatically for a vulnerability despite the availability of remediation
Details
CVE-2026-25645
Vulnerable Library - requests-2.32.4-py3-none-any.whl
Python HTTP for Humans.
Library home page: https://files.pythonhosted.org/packages/7c/e4/56027c4a6b4ae70ca9de302488c5ca95ad4a39e190093d6c1a8ace08341b/requests-2.32.4-py3-none-any.whl
Path to dependency file: /tmp/ws-scm/sql-cli
Path to vulnerable library: /tmp/ws-ua_20260518195424_ZCYUWM/python_XKNQIE/202605181954251/env/lib/python3.12/site-packages/requests-2.32.4.dist-info
Dependency Hierarchy:
- ❌ requests-2.32.4-py3-none-any.whl (Vulnerable Library)
Found in HEAD commit: 68212e0c681da02608aa39ca6a7234d5a082124e
Found in base branch: main
Vulnerability Details
Requests is a HTTP library. Prior to version 2.33.0, the "requests.utils.extract_zipped_paths()" utility function uses a predictable filename when extracting files from zip archives into the system temporary directory. If the target file already exists, it is reused without validation. A local attacker with write access to the temp directory could pre-create a malicious file that would be loaded in place of the legitimate one. Standard usage of the Requests library is not affected by this vulnerability. Only applications that call "extract_zipped_paths()" directly are impacted. Starting in version 2.33.0, the library extracts files to a non-deterministic location. If developers are unable to upgrade, they can set "TMPDIR" in their environment to a directory with restricted write access.
Publish Date: 2026-03-25
URL: CVE-2026-25645
CVSS 3 Score Details (4.4)
Base Score Metrics:
- Exploitability Metrics:
- Attack Vector: Local
- Attack Complexity: High
- Privileges Required: Low
- User Interaction: Required
- Scope: Unchanged
- Impact Metrics:
- Confidentiality Impact: None
- Integrity Impact: High
- Availability Impact: None
Suggested Fix
Type: Upgrade version
Release Date: 2026-03-25
Fix Resolution: https://github.com/psf/requests.git - v2.33.0
⛑️ Automatic Remediation will be attempted for this issue.
:rescue_worker_helmet:Automatic Remediation will be attempted for this issue.
- 主要言語
- Python
- スター
- 9
- フォーク
- 24
- PR マージ指標
- 30日以内にマージされた PR はありません
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
opensearch-project/sql-cli のほかの issue
-
Mend: dependency security vulnerability
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
-
Mend: dependency security vulnerability
難易度 2/5 1〜3時間 初心者へのやさしさ 58/100
-
難易度 5/5 1週間以上 初心者へのやさしさ 20/100
opensearch-project/sql-cli#59 · コメント 1 件 · リアクション 1 件 ·
-
Update version on PyPi再び着手できるかも @zhongnansu が 187 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンdocumentation enhancement
opensearch-project/sql-cli#45 · コメント 3 件 · 担当者 1 名 ·
-
Github Action Deprecation: actions/upload-artifact@v3再び着手できるかも @Swiddis が 697 日前に担当しましたが、オープン中のプルリクエストはありません。 オープン
opensearch-project/sql-cli#31 · コメント 1 件 · 担当者 1 名 ·
opensearch-project/sql-cli の issue をすべて見る
似ている issue
-
[BUG] Container scenario crashes without expected_recovery_time, kube DNS example uses retry_waitオープンneeds-triage
難易度 2/5 1〜3時間 初心者へのやさしさ 77/100
krkn-chaos/krkn#1627 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
NousResearch/hermes-agent#136483 ·
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
メンテナーはふだん 1 日以内に返信
-
[BUG] LazyStackedTensorDictStore zeroes the last byte of a new key set on the last element対応中かも @peterdsharpe が今日担当しました。 オープンbug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
pytorch/tensordict#2307 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信