From cc3621a12b6dcbdb87d9e44b5f630ed0c8c092f5 Mon Sep 17 00:00:00 2001
From: embeddevio <embeddev.iot@gmail.com>
Date: Thu, 29 Oct 2026 22:16:53 +0300
Subject: [PATCH] =?UTF-8?q?fix(#61):=20=D0=BF=D0=B8=D0=BD=D1=8B=20=D1=82?=
 =?UTF-8?q?=D1=80=D0=B0=D0=BD=D0=B7=D0=B8=D1=82=D0=B8=D0=B2=D0=BD=D1=8B?=
 =?UTF-8?q?=D1=85=20python-=D0=B7=D0=B0=D0=B2=D0=B8=D1=81=D0=B8=D0=BC?=
 =?UTF-8?q?=D0=BE=D1=81=D1=82=D0=B5=D0=B9=20=D0=BF=D0=BE=D0=B4=20=D0=B3?=
 =?UTF-8?q?=D0=B5=D0=B9=D1=82=20image-scan?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

После бампа Go/alpine/x-crypto/x-net в образе остались 5 HIGH — все в venv:
  urllib3 2.7.0 → 2.8.0, msgpack 1.1.2 → 1.2.3, setuptools 70.3.0 → 78.1.1

Refs #61
---
 requirements.txt | 8 ++++++++
 1 file changed, 8 insertions(+)

diff --git a/requirements.txt b/requirements.txt
index dd3b550..fc90cca 100644
--- a/requirements.txt
+++ b/requirements.txt
@@ -8,5 +8,13 @@ httpx>=0.27
 structlog>=24.4
 prometheus-client>=0.21
 
+# Транзитивные зависимости с открытыми HIGH — пиним снизу под гейт image-scan (issue #61):
+#   urllib3 2.7.0    → CVE-2026-97687 (MITM через HTTPS-прокси) / CVE-2026-97689 (DoS), fix 2.8.0
+#   msgpack 1.1.2    → CVE-2026-114613 / GHSA-6v7p-g79w-8964, fix 1.2.3
+#   setuptools 70.3.0 → CVE-2025-47273 (path traversal), fix 78.1.1
+urllib3>=2.8.0
+msgpack>=1.2.3
+setuptools>=78.1.1
+
 # Сетевой слой вызывается через бинари (awg, iptables, ipset, dnsmasq),
 # поэтому python-зависимостей для сети не требуется.