diff --git a/requirements.txt b/requirements.txt
index dd3b550..fc90cca 100644
--- a/requirements.txt
+++ b/requirements.txt
@@ -8,5 +8,13 @@ httpx>=0.27
 structlog>=24.4
 prometheus-client>=0.21
 
+# Транзитивные зависимости с открытыми HIGH — пиним снизу под гейт image-scan (issue #61):
+#   urllib3 2.7.0    → CVE-2026-97687 (MITM через HTTPS-прокси) / CVE-2026-97689 (DoS), fix 2.8.0
+#   msgpack 1.1.2    → CVE-2026-114613 / GHSA-6v7p-g79w-8964, fix 1.2.3
+#   setuptools 70.3.0 → CVE-2025-47273 (path traversal), fix 78.1.1
+urllib3>=2.8.0
+msgpack>=1.2.3
+setuptools>=78.1.1
+
 # Сетевой слой вызывается через бинари (awg, iptables, ipset, dnsmasq),
 # поэтому python-зависимостей для сети не требуется.