CVE-2026-25645
ŚrednieStreszczenie
Biblioteka HTTP Requests przed wersją 2.33.0 zawiera funkcję `requests.utils.extract_zipped_paths()`, która używa przewidywalnej nazwy pliku podczas wyodrębniania plików z archiwów zip do systemowego katalogu tymczasowego. Jeśli docelowy plik już istnieje, jest on ponownie używany bez walidacji.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nadpisania istniejących plików w systemie, co może prowadzić do utraty danych lub wykonania złośliwego kodu.
Rekomendacja
Zaleca się aktualizację biblioteki Requests do wersji 2.33.0 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Requests is a HTTP library. Prior to version 2.33.0, the `requests.utils.extract_zipped_paths()` utility function uses a predictable filename when extracting files from zip archives into the system temporary directory. If the target file already exists, it is reused without validation. A local attac