CVE-2026-25645
MediumSummary
Biblioteka HTTP Requests przed wersją 2.33.0 zawiera funkcję `requests.utils.extract_zipped_paths()`, która używa przewidywalnej nazwy pliku podczas wyodrębniania plików z archiwów zip do systemowego katalogu tymczasowego. Jeśli docelowy plik już istnieje, jest on ponownie używany bez walidacji.
Risk Assessment
Atakujący może wykorzystać tę podatność do nadpisania istniejących plików w systemie, co może prowadzić do utraty danych lub wykonania złośliwego kodu.
Recommendation
Zaleca się aktualizację biblioteki Requests do wersji 2.33.0 lub nowszej, aby usunąć tę podatność.
Original NVD description (English source)
Requests is a HTTP library. Prior to version 2.33.0, the `requests.utils.extract_zipped_paths()` utility function uses a predictable filename when extracting files from zip archives into the system temporary directory. If the target file already exists, it is reused without validation. A local attac