fix(#61): пины транзитивных python-зависимостей под гейт image-scan

После бампа Go/alpine/x-crypto/x-net в образе остались 5 HIGH — все в venv: urllib3 2.7.0 → 2.8.0, msgpack 1.1.2 → 1.2.3, setuptools 70.3.0 → 78.1.1 Refs #61
2026-10-29 22:16:53 +03:00
parent ea63e904b4
commit cc3621a12b
1 changed files with 8 additions and 0 deletions
@@ -8,5 +8,13 @@ httpx>=0.27
 structlog>=24.4
 prometheus-client>=0.21

+# Транзитивные зависимости с открытыми HIGH — пиним снизу под гейт image-scan (issue #61):
+#   urllib3 2.7.0    → CVE-2026-97687 (MITM через HTTPS-прокси) / CVE-2026-97689 (DoS), fix 2.8.0
+#   msgpack 1.1.2    → CVE-2026-114613 / GHSA-6v7p-g79w-8964, fix 1.2.3
+#   setuptools 70.3.0 → CVE-2025-47273 (path traversal), fix 78.1.1
+urllib3>=2.8.0
+msgpack>=1.2.3
+setuptools>=78.1.1
+
 # Сетевой слой вызывается через бинари (awg, iptables, ipset, dnsmasq),
 # поэтому python-зависимостей для сети не требуется.