Security: pin oauthlib>=4.0.0 (CVE-2026-49264, CVE-2026-49265)
维护者通常 3 天内回复
评估
调研方向
Start with requirements.txt and compare the requested dependency pin with the protective pattern from #2016. Add the direct oauthlib>=4.0.0 constraint, then verify that the dependency resolves to the fixed 4.0.0 line; the issue notes that this pin can later be removed after requests-oauthlib ships its raised lower bound.
由索引模型根据 Issue 内容生成。
描述
Two CVEs were published against oauthlib affecting all 3.x releases:
- CVE-2026-49265 -- Timing attack vulnerability in PKCE
code_verifiercomparison (CWE-208) - CVE-2026-49264 -- Unsafe JSONP callback injection in
RevocationEndpoint
Both are fixed in oauthlib 4.0.0.
The dependency chain here is:
kubernetes → requests-oauthlib → oauthlib>=3.0.0
requests-oauthlib declares oauthlib>=3.0.0, which allows resolvers to land on the vulnerable 3.x line. The upstream fix is requests/requests-oauthlib#577, but that project is slow-moving.
The same protective pattern was used before in #2016 -- adding a direct oauthlib pin to requirements.txt. A PR with the one-line fix is attached.
Once requests/requests-oauthlib#577 merges and a new requests-oauthlib release ships with the raised lower bound, this pin can be removed (same as #2434 cleaned up the previous one).
- 主要语言
- Python
- 星标
- 7.7k
- 派生
- 3.5k
- 平均合并
- 3 天 4 小时
- 30 天内合并 PR
- 9
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
kubernetes-client/python 的其他 Issue
-
getheaders is deprecated in urllib3 >= 2.0.0可能重新可做 关联的 PR 已关闭且未合并。 未关闭kind/bug
难度 1/5 1 小时以内 新手友好度 68/100
kubernetes-client/python#2280 · 16 条评论 · 9 个 reaction ·
维护者通常 3 天内回复
-
Release 1.37可能重新可做 @yliaog 于 37 天前认领，目前没有进行中的 PR。 未关闭
kubernetes-client/python#2691 · 1 条评论 · 1 个 reaction · 已指派 1 人 ·
维护者通常 3 天内回复
-
help wanted
难度 5/5 一周以上 新手友好度 35/100
kubernetes-client/python#2677 · 14 条评论 · 1 个 reaction ·
维护者通常 3 天内回复
-
Add option to disable strict x509 verifcation in sync client可能已有人在做 @Vishwa0223 于 42 天前认领。 未关闭help wanted kind/feature
kubernetes-client/python#2602 · 6 条评论 · 已指派 1 人 ·
维护者通常 3 天内回复
-
v36.0.0 regression fetching container logs可能重新可做 @yliaog 于 80 天前认领，目前没有进行中的 PR。 未关闭kind/bug
kubernetes-client/python#2596 · 15 条评论 · 2 个 reaction · 已指派 1 人 ·
维护者通常 3 天内回复
查看 kubernetes-client/python 的全部 Issue
相似的 Issue
-
needs triage
难度 2/5 1-3 小时 新手友好度 76/100
维护者通常 1 天内回复
-
json_params_matcher fails on falsy top-level JSON primitives (0, False, "")可能已有人在做 @mayureshsonawane17 今天认领。 未关闭Waiting for: Product Owner
难度 2/5 1-3 小时 新手友好度 84/100
维护者通常 5 天内回复
-
难度 2/5 1-3 小时 新手友好度 75/100
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 88/100
ayghri/i-have-adhd#249 ·
维护者通常 2 天内回复
-
难度 2/5 1-3 小时 新手友好度 72/100
modelscope/FunASR#3762 ·
维护者通常 1 天内回复