Security: pin oauthlib>=4.0.0 (CVE-2026-49264, CVE-2026-49265)
Mantenedores costumam responder em até 1 dia
Avaliação
- Dificuldade
- 1/5
- Tempo estimado
- Menos de uma hora
- Facilidade para iniciantes
- 30/100
Direção de pesquisa
Start with requirements.txt and compare the requested dependency pin with the protective pattern from #2016. Add the direct oauthlib>=4.0.0 constraint, then verify that the dependency resolves to the fixed 4.0.0 line; the issue notes that this pin can later be removed after requests-oauthlib ships its raised lower bound.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Two CVEs were published against oauthlib affecting all 3.x releases:
- CVE-2026-49265 -- Timing attack vulnerability in PKCE
code_verifiercomparison (CWE-208) - CVE-2026-49264 -- Unsafe JSONP callback injection in
RevocationEndpoint
Both are fixed in oauthlib 4.0.0.
The dependency chain here is:
kubernetes → requests-oauthlib → oauthlib>=3.0.0
requests-oauthlib declares oauthlib>=3.0.0, which allows resolvers to land on the vulnerable 3.x line. The upstream fix is requests/requests-oauthlib#577, but that project is slow-moving.
The same protective pattern was used before in #2016 -- adding a direct oauthlib pin to requirements.txt. A PR with the one-line fix is attached.
Once requests/requests-oauthlib#577 merges and a new requests-oauthlib release ships with the raised lower bound, this pin can be removed (same as #2434 cleaned up the previous one).
- Linguagem predominante
- Python
- Estrelas
- 7.7k
- Forks
- 3.5k
- Merge médio
- 1d 5h
- PRs com merge (30d)
- 23
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Tem um modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de kubernetes-client/python
-
getheaders is deprecated in urllib3 >= 2.0.0Talvez livre de novo Um pull request para esta issue foi fechado sem ser mesclado. Abertakind/bug
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 68/100
kubernetes-client/python#2280 · 16 comentários · 9 reações ·
Mantenedores costumam responder em até 1 dia
-
Make async an extraAbertakind/feature
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 55/100
kubernetes-client/python#2739 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
Growing library sizeAbertahelp wanted
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 35/100
kubernetes-client/python#2677 · 15 comentários · 1 reação ·
Mantenedores costumam responder em até 1 dia
-
Add option to disable strict x509 verifcation in sync clientTalvez já em andamento @Vishwa0223 assumiu há 55 dias. Abertahelp wanted kind/feature
kubernetes-client/python#2602 · 6 comentários · 1 responsável ·
Mantenedores costumam responder em até 1 dia
-
v36.0.0 regression fetching container logsTalvez livre de novo @yliaog assumiu há 94 dias e não há nenhum pull request aberto. Abertakind/bug
kubernetes-client/python#2596 · 19 comentários · 2 reações · 1 responsável ·
Mantenedores costumam responder em até 1 dia
Todas as issues de kubernetes-client/python
Issues semelhantes
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 79/100
SACGF/variantgrid#2341 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 88/100
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
Mantenedores costumam responder em até 2 dias
-
comp/cli P3 type/security
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
NousResearch/hermes-agent#141420 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
CKV_GCP_18 (GKEPublicControlPlane) passes when master_authorized_networks_config is absent, control plane is internet-reachableTalvez já em andamento @Varshith-Kali assumiu hoje. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 76/100
bridgecrewio/checkov#7753 ·
Mantenedores costumam responder em até 1 dia