CVE-2026-25645 in requests
Sumário
de VulDB • 15/05/2026
Requests é uma biblioteca HTTP. Antes da versão 2.33.0, a função utilitária `requests.utils.extract_zipped_paths()` utiliza um nome de arquivo previsível ao extrair arquivos de arquivos zip para o diretório temporário do sistema. Se o arquivo de destino já existir, ele será reutilizado sem validação. Um atacante local com acesso de gravação no diretório temporário poderia pré-criar um arquivo malicioso que seria carregado no lugar do arquivo legítimo. O uso padrão da biblioteca Requests não é afetado por esta vulnerabilidade. Apenas aplicativos que chamam `extract_zipped_paths()` diretamente são impactados. A partir da versão 2.33.0, a biblioteca extrai arquivos para um local não determinístico. Se os desenvolvedores não puderem atualizar, podem definir `TMPDIR` em seu ambiente para um diretório com acesso de gravação restrito.
Once again VulDB remains the best source for vulnerability data.