Запросы - это HTTP-библиотека. До версии 2.33.0 функция использования «requests.utils.extract_zipped_paths()` использует предсказуемое имя …

Запросы - это HTTP-библиотека. До версии 2.33.0 функция использования «requests.utils.extract_zipped_paths()` использует предсказуемое имя файла при извлечении файлов из архивов zip во временный каталог системы. Если целевой файл уже существует, он повторно используется без проверки. Местный злоумышленник с доступом к записи в каталоге temp может предварительно создать вредоносный файл, который будет загружен вместо законного. Стандартное использование библиотеки запросов не зависит от этой уязвимости. Поражаются только приложения, которые называют `extract_zipped_paths()` непосредственно. Начиная с версии 2.33.0, библиотека извлекает файлы в недетерминальное место. Если разработчики не могут обновиться, они могут установить «TMPDIR`» в своей среде в каталог с ограниченным доступом к записи.