Aller au contenuistheinternetok

pallets/flask va bien ?

Oui.

Rien de grave dans ce qu'il livre.

Interne : 42 failles dans les tests et les outils, aucune n'atteint tes utilisateurs.

Vérifié 16:48 UTCcommit d086db8alertes à jour : 10:05 UTC

Poster sur X

Touche tes utilisateurs

1 faille dans ce que le projet livre.

Peut casser ou ralentir ton service

  • werkzeug 3.1.81 faillecorrigé dans 3.1.9Une faille dont l'effet n'est pas précisé. Depuis n'importe où sur Internet, sans compte.

Interne seulement

Outils de dev, tests, exemples, docs et benchmarks : ils n'atteignent pas tes utilisateurs, donc ne comptent jamais dans la réponse.

  • certifi 2026.7.221 faillecorrigé dans 2026.10.19Une protection est plus faible qu'elle ne devrait. Depuis n'importe où sur Internet, sans compte.
  • uv 0.12.01 faillecorrigé dans 0.13.4Une protection est plus faible qu'elle ne devrait. Depuis n'importe où sur Internet, sans compte.
    • GHSA-hq85-5cpj-mr62uv's bundled CA store trusts an emSign root whose intermediate CA keys are compromised
  • virtualenv 21.7.119 faillescorrigé dans 21.14.9Quelqu'un pourrait lancer son propre code là où il tourne. Depuis n'importe où sur Internet, sans compte.
    • GHSA-94p9-xgh2-xp45virtualenv: Downloaded seed wheels (pip/setuptools) are not integrity-checked before use
    • GHSA-394h-qwmc-48pfvirtualenv: Xonsh activation literals depend on the script decoding codec
    • GHSA-5vjq-rrrf-7h2qvirtualenv activate runs commands from the environment name in zsh with PROMPT_SUBST
    • GHSA-6w3r-xr62-4xcpvirtualenv: Bash prompt values can change meaning under older compatibility modes
    • GHSA-8rjx-v5ww-45ppvirtualenv activation scripts run code from a path that contains a placeholder name
    • GHSA-c947-3pg5-gm8qvirtualenv activate.fish runs commands from a path or prompt with a backslash before a quote
    • GHSA-c978-59m8-c77vvirtualenv: Generated POSIX console launchers interpret destination paths as shell syntax
    • GHSA-p58f-9548-mpm2virtualenv bash and fish activation scripts execute commands embedded in paths
    • GHSA-vxj4-q4g9-crj7virtualenv bash activate runs commands from an environment name with a backslash before $
    • GHSA-x78j-v8h9-3j2qvirtualenv: Command injection via --prompt in activate.bat (batch activator)
    • GHSA-hhxq-47xx-j5xxvirtualenv: Seed replacement does not contain metadata deletion paths
    • GHSA-9h9j-4vrj-gf7gvirtualenv writes prompt values into pyvenv.cfg without sanitizing line boundaries, allowing configuration injection
    • GHSA-fc2g-4w5p-6whmvirtualenv: Seeded files retain permissions from an older cache
    • GHSA-43mp-35q3-x3fqvirtualenv: Deletion recovery can change a symlink target's mode
    • GHSA-558c-9hv2-4prjvirtualenv: Generated files can follow existing destination links
    • GHSA-cw65-gx24-rc82virtualenv: Builtin creation follows linked environment directories
    • GHSA-494p-63j8-28p3virtualenv: Downloaded wheel selection and caching precede verification
    • GHSA-cx28-75q4-x26qvirtualenv: Pip seeding with download omits wheel digest verification
    • GHSA-qmx5-4p3x-wvqfvirtualenv: Venv configuration readback can reinterpret path boundaries
  • jinja2 3.1.25 faillescorrigé dans 3.1.6Quelqu'un pourrait lancer son propre code là où il tourne. Seulement avec un accès à la machine.
    • GHSA-cpwx-vrp4-4pq7Jinja2 vulnerable to sandbox breakout through attr filter selecting format method
    • GHSA-gmj6-6f8f-6699Jinja has a sandbox breakout through malicious filenames
    • GHSA-q2x7-8rv6-6q7hJinja has a sandbox breakout through indirect reference to format method
    • GHSA-h5c8-rqwp-cp95Jinja vulnerable to HTML attribute injection when passing user input as keys to xmlattr filter
    • GHSA-h75v-3vvj-5mfjJinja vulnerable to HTML attribute injection when passing user input as keys to xmlattr filter
  • cryptography 49.0.01 faillecorrigé dans 50.0.0Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
    • GHSA-g6cj-pr64-35w5cryptography: PKCS#7 EnvelopedData decryption exposes a Bleichenbacher oracle through distinguishable errors and timing
  • werkzeug 2.3.38 faillescorrigé dans 3.1.9Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Depuis n'importe où sur Internet, sans compte.
  • filelock 3.32.23 faillescorrigé dans 4.2.1Quelqu'un pourrait modifier des données ou des fichiers. Seulement avec un accès à la machine.
    • GHSA-v4x8-3wr5-3wq8filelock ReadWriteLock: SQLite reopens the lock database by name, so a planted symlink or journal file makes the lock user's process overwrite or unlink its own files
    • GHSA-567q-5qvw-pf92filelock: On Windows an oplock on a soft lock's marker holds SoftFileLock.acquire() past its timeout and blocks the stale break
    • GHSA-9vhv-jxww-xfm5filelock: ReadWriteLock on Windows acts on SQLite side files another local user places beside its database
  • urllib3 2.7.03 faillescorrigé dans 2.8.0Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
  • flask 2.3.21 faillecorrigé dans 3.1.3Une faille dont l'effet n'est pas précisé. Depuis n'importe où sur Internet, sans compte.

Préviens-moi par email quand ça change

Un email pour confirmer, puis un seul quand la réponse empire ou qu'une nouvelle faille sérieuse apparaît : au plus un par jour, tout de suite si des attaquants l'utilisent. Un clic pour se désabonner.

Mets le badge dans ton README

Il affiche cette réponse et change avec elle.

pallets/flask va bien ?
[![pallets/flask va bien ?](https://istheinternetok.com/r/pallets/flask/badge.svg)](https://istheinternetok.com/r/pallets/flask/)

Lu dans examples/celery/requirements.txt, uv.lock.