googleapis / googleapis/python-aiplatform
Security Vulnerability with Werkzeug 2.0.0
- 主要语言
- Python
- 星标
- 905
- 派生
- 465
- 平均合并
- 1 天 13 小时
- 30 天内合并 PR
- 44
描述
#### Environment details
- OS type and version: N/A
- Python version: `python --version` N/A
- pip version: `pip --version` N/A
- `google-cloud-aiplatform` version: v1.76.0 (and earlier)
#### Description
There are several security vulnerabilities with Werkzeug 2.0.0 which is a strict dependency in google-cloud-aiplatform[tensorboard]
https://github.com/googleapis/python-aiplatform/blob/26a08c7c37762b3661631cf40424118e6a22ef1b/setup.py#L51
Is it possible to update Werkzeug to resolve these? Thanks!
Link to vulnerabilities:
- https://nvd.nist.gov/vuln/detail/cve-2024-34069
- https://nvd.nist.gov/vuln/detail/cve-2023-25577
贡献指南
调研方向
从 setup.py 中 issue 所链接的依赖声明开始,检查针对 tensorboard extra 对 Werkzeug 施加了哪些版本约束。将依赖更新到能够解决 CVE-2024-34069 和 CVE-2023-25577 的兼容版本,然后验证 package 仍可安装且现有的 project tests 均通过。
由索引模型根据 Issue 内容生成。
评估
- 技术栈
- python
- 领域
- security
- Issue 类型
- 缺陷
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 活跃度
- 停滞
- 描述清晰度
- 基本清楚
- 新手友好度
- 35/100