CVE-2026-25645
Açıklama
Requests bir HTTP kütüphanesidir. Versiyon 2.33.0 öncesinde, `requests.utils.extract_zipped_paths()` yardımcı fonksiyonu, dosyaları zip arşivlerinden sistemin geçici dizinine çıkarırken öngörülebilir bir dosya adı kullanır. Hedef dosya zaten mevcutsa, herhangi bir doğrulama yapılmadan yeniden kullanılır. Geçici dizine yazma erişimi olan yerel bir saldırgan, meşru dosyanın yerine yüklenecek kötü amaçlı bir dosyayı önceden oluşturabilir. Requests kütüphanesinin standart kullanımı bu güvenlik açığından etkilenmez. Yalnızca `extract_zipped_paths()` fonksiyonunu doğrudan çağıran uygulamalar etkilenir. Versiyon 2.33.0 ile birlikte kütüphane, dosyaları deterministik olmayan bir konuma çıkarmaktadır. Geliştiriciler yükseltme yapamıyorlarsa, ortamlarındaki `TMPDIR` değişkenini yazma erişimi kısıtlanmış bir dizine ayarlayabilirler.
Nasıl düzeltilir
- python requests2.33.0 ya da sonraki bir sürüm
- requests2.33.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| python requests | v < 2.33.0 | 2.33.0 |
| requestsPyPI | v < 2.33.0 | 2.33.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.