Zaloguj się
Deutsch English Español Polski
Średnia

Requests has Insecure Temp File Reuse in its extract_zipped_paths() utility function

  • Ujawniono: 25.03.2026
  • Aktualizacja: 11.10.2026 15:17

Impact

The requests.utils.extract_zipped_paths() utility function uses a predictable filename when extracting files from zip archives into the system temporary directory. If the target file already exists, it is reused without validation. A local attacker with write access to the temp directory could pre-create a malicious file that would be loaded in place of the legitimate one.

Affected usages

Standard usage of the Requests library is not affected by this vulnerability. Only applications that call extract_zipped_paths() directly are impacted.

Remediation

Upgrade to at least Requests 2.33.0, where the library now extracts files to a non-deterministic location.

If developers are unable to upgrade, they can set TMPDIR in their environment to a directory with restricted write access.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) requests < 2.33.0 2.33.0

Odnośniki

Ocena CVSS 4.4/10
Wektor CVSS
CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:U/C:N/I:H/A:N
Słabość (CWE)
CWE-377
Platforma
Python (PyPI)
Paczka
requests
Ujawniono
25.03.2026
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-2275 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-gc5v-m9x4-r6x2 - CC BY 4.0

Historia podatności: requests

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
8
Pierwsza → ostatnia
10.2014 03.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 1
  • Średnia 7

Ujawnienia w latach

wcześniej: 3

  1. Requests has Insecure Temp File Reuse in its extract_zipped_paths() utility function ten wpis
    Średnia · 4.4 CVE-2026-25645 < 2.33.0 2.33.0
  2. Requests vulnerable to .netrc credentials leak via malicious URLs
    Średnia · 5.3 CVE-2024-47081 < 2.32.4 2.32.4
  3. Requests `Session` object does not verify requests after making first request with verify=False
    Średnia · 5.6 CVE-2024-35195 < 2.32.0 2.32.0
  4. Unintended leak of Proxy-Authorization header in requests
    Średnia · 6.1 CVE-2023-32681 >= 2.3.0, < 2.31.0 2.31.0
  5. Insufficiently Protected Credentials in Requests
    Wysoka · 7.5 CVE-2018-18074 < 2.20.0 2.20.0
  6. The resolve_redirects function in sessions.py in requests 2.1.0 through 2.5.3 allows remote attackers to conduct session fixation attacks via a cookie without a host value in a redirect.
    Średnia CVE-2015-2296 >= 2.1.0, < 2.6.0 2.6.0
  7. Exposure of Sensitive Information to an Unauthorized Actor in Requests
    Średnia CVE-2014-1830 < 2.3.0 2.3.0
  8. Exposure of Sensitive Information to an Unauthorized Actor in Requests
    Średnia · 5.3 CVE-2014-1829 < 2.3.0 2.3.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.