[prediction] fastapi<=0.124.4 cap blocks patched Starlette (CVE-2026-48710 / BadHost, CISA KEV)

未关闭

#7,164 创建于 2026年9月24日 0 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 3/5
预计耗时: 1-2 天
新手友好度: 55/100

Issue 类型: 缺陷
描述清晰度: 描述清楚
活跃度: 活跃
技术栈: fastapi, python
领域: backend, devops, security

调研方向

Look at the dependency declarations in setup.py or pyproject.toml for the 'prediction', 'full', and 'testing' extras. The issue is about updating the FastAPI version constraint to >=0.133.0 to allow a patched Starlette (>=1.0.1). Check how Custom Prediction Routines (CPR) are built in LocalModel.build_cpr_model to understand the impact. After updating the version bounds, run pip check to ensure no conflicts and test the build process for a CPR container.

由索引模型根据 Issue 内容生成。

描述

api: vertex-ai

The prediction, full and testing extras in google-cloud-aiplatform 2.2.0 declare fastapi>=0.71.0,<=0.124.4. FastAPI 0.124.4 requires starlette>=0.40.0,<0.51.0, so these extras cannot resolve to a Starlette version patched for CVE-2026-48710 (GHSA-86qp-5c8j-p5mr), fixed in starlette>=1.0.1. The CVE was added to CISA's KEV catalog in September 2026.

This affects Custom Prediction Routines: LocalModel.build_cpr_model installs google-cloud-aiplatform[prediction] in the image, so every CPR container ships a vulnerable Starlette unless users override it in requirements.txt, which produces a declared dependency conflict and fails pip check.

FastAPI dropped the Starlette upper bound in 0.133.0 and google-adk already moved to fastapi>=0.133,<1 / starlette>=1.3.1,<2.

Thanks for your help!

主要语言: Python
星标: 907
派生: 467
平均合并: 1 天 8 小时
30 天内合并 PR: 40

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

googleapis/python-aiplatform 的其他 Issue

Protobuf 7.35.1+ support 未关闭

api: vertex-ai

难度 1/5 1 小时以内新手友好度 85/100

googleapis/python-aiplatform#7132 · 2026年9月3日创建
AgentEngineConfig.agent_framework Literal rejects "a2a" — out of sync with _SUPPORTED_AGENT_FRAMEWORKS and the GA A2A template 未关闭

api: vertex-ai

难度 2/5 1-3 小时新手友好度 78/100

googleapis/python-aiplatform#7097 · 2026年8月25日创建
CustomContainerTrainingJob.run drops max_wait_duration=0 instead of requesting indefinite DWS wait 未关闭

api: vertex-ai

难度 2/5 1-3 小时新手友好度 78/100

googleapis/python-aiplatform#7067 · 1 条评论 · 2026年8月12日创建
`A2aAgent` builds agent-card `url` from default region (us-central1), ignoring `GOOGLE_CLOUD_AGENT_ENGINE_LOCATION` 未关闭

api: vertex-ai

难度 2/5 1-3 小时新手友好度 68/100

googleapis/python-aiplatform#6877 · 2026年6月11日创建
evals: AgentConfig.from_agent raises AttributeError for workflow / non-LlmAgent root agents (no 'tools' field) 未关闭

api: vertex-ai

难度 2/5 1-3 小时新手友好度 68/100

googleapis/python-aiplatform#6865 · 1 条评论 · 2026年6月9日创建

查看 googleapis/python-aiplatform 的全部 Issue

相似的 Issue

validate-structure inspecte challenge/work/.terraform et rend faux les labs qui ont un provider en cache 未关闭

bug

难度 2/5 1-3 小时新手友好度 75/100

stephrobert/dsoxlab#238 · 2026年9月24日创建
Uniform probability densities use the upper bound as an interval width 未关闭

难度 2/5 1-3 小时新手友好度 75/100

nasa/fmdtools#40 · 2026年9月24日创建
_common_folder() treats a single file as the common folder; single-file archives can't be installed (4.2.8) / crash (master) 未关闭

难度 2/5 1-3 小时新手友好度 75/100

sublimehq/package_control#1780 · 2026年9月24日创建
Set 'Sample' input in 'autorun.py' to utilize 'Sample' Tab in eLog 未关闭

难度 2/5 1-3 小时新手友好度 65/100

pcdshub/mfx#309 · 2 条评论 · 2026年9月24日创建
niri config file addition does not respect existing optional include 未关闭

难度 2/5 1-3 小时新手友好度 70/100

nwg-piotr/nwg-displays#145 · 2026年9月24日创建

更多 Python Issue