pallets/flask 괜찮나요?
네.
배포하는 것에 심각한 문제는 없습니다.
내부: 테스트와 도구에 결함 42개, 어느 것도 사용자에게 닿지 않습니다.17:01 UTC 확인커밋 d086db810:05 UTC 기준 보안 권고
사용자에게 닿는 것
프로젝트가 배포하는 것에 결함 1개, 심각한 것부터.
서비스가 멈추거나 느려질 수 있음
werkzeug 3.1.8결함 1개3.1.9에서 수정됨영향이 명시되지 않은 결함입니다. 인터넷 어디서나, 계정 없이도.
- GHSA-g6x2-hccm-hh4mWerkzeug safe_join() allows Windows special device names
내부 전용
개발 도구, 테스트, 예제, 문서, 벤치마크: 사용자에게 닿지 않으므로 답에는 넣지 않습니다.
certifi 2026.7.22결함 1개2026.10.19에서 수정됨보호 장치가 있어야 할 수준보다 약합니다. 인터넷 어디서나, 계정 없이도.
- GHSA-6q48-6c7w-9gw2certifi bundles emSign root CAs with compromised intermediate CA keys
uv 0.12.0결함 1개0.13.4에서 수정됨보호 장치가 있어야 할 수준보다 약합니다. 인터넷 어디서나, 계정 없이도.
- GHSA-hq85-5cpj-mr62uv's bundled CA store trusts an emSign root whose intermediate CA keys are compromised
virtualenv 21.7.1결함 19개21.14.9에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-94p9-xgh2-xp45virtualenv: Downloaded seed wheels (pip/setuptools) are not integrity-checked before use
- GHSA-394h-qwmc-48pfvirtualenv: Xonsh activation literals depend on the script decoding codec
- GHSA-5vjq-rrrf-7h2qvirtualenv activate runs commands from the environment name in zsh with PROMPT_SUBST
- GHSA-6w3r-xr62-4xcpvirtualenv: Bash prompt values can change meaning under older compatibility modes
- GHSA-8rjx-v5ww-45ppvirtualenv activation scripts run code from a path that contains a placeholder name
- GHSA-c947-3pg5-gm8qvirtualenv activate.fish runs commands from a path or prompt with a backslash before a quote
- GHSA-c978-59m8-c77vvirtualenv: Generated POSIX console launchers interpret destination paths as shell syntax
- GHSA-p58f-9548-mpm2virtualenv bash and fish activation scripts execute commands embedded in paths
- GHSA-vxj4-q4g9-crj7virtualenv bash activate runs commands from an environment name with a backslash before $
- GHSA-x78j-v8h9-3j2qvirtualenv: Command injection via --prompt in activate.bat (batch activator)
- GHSA-hhxq-47xx-j5xxvirtualenv: Seed replacement does not contain metadata deletion paths
- GHSA-9h9j-4vrj-gf7gvirtualenv writes prompt values into pyvenv.cfg without sanitizing line boundaries, allowing configuration injection
- GHSA-fc2g-4w5p-6whmvirtualenv: Seeded files retain permissions from an older cache
- GHSA-43mp-35q3-x3fqvirtualenv: Deletion recovery can change a symlink target's mode
- GHSA-558c-9hv2-4prjvirtualenv: Generated files can follow existing destination links
- GHSA-cw65-gx24-rc82virtualenv: Builtin creation follows linked environment directories
- GHSA-494p-63j8-28p3virtualenv: Downloaded wheel selection and caching precede verification
- GHSA-cx28-75q4-x26qvirtualenv: Pip seeding with download omits wheel digest verification
- GHSA-qmx5-4p3x-wvqfvirtualenv: Venv configuration readback can reinterpret path boundaries
jinja2 3.1.2결함 5개3.1.6에서 수정됨누군가 이것이 돌아가는 곳에서 자기 코드를 실행할 수 있습니다. 기기에 접근할 수 있어야만.
- GHSA-cpwx-vrp4-4pq7Jinja2 vulnerable to sandbox breakout through attr filter selecting format method
- GHSA-gmj6-6f8f-6699Jinja has a sandbox breakout through malicious filenames
- GHSA-q2x7-8rv6-6q7hJinja has a sandbox breakout through indirect reference to format method
- GHSA-h5c8-rqwp-cp95Jinja vulnerable to HTML attribute injection when passing user input as keys to xmlattr filter
- GHSA-h75v-3vvj-5mfjJinja vulnerable to HTML attribute injection when passing user input as keys to xmlattr filter
cryptography 49.0.0결함 1개50.0.0에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-g6cj-pr64-35w5cryptography: PKCS#7 EnvelopedData decryption exposes a Bleichenbacher oracle through distinguishable errors and timing
werkzeug 2.3.3결함 8개3.1.9에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-f9vj-2wh5-fj8jWerkzeug safe_join not safe on Windows
- GHSA-2g68-c3qc-8985Werkzeug debugger vulnerable to remote execution when interacting with attacker controlled domain
- GHSA-q34m-jh98-gwm2Werkzeug possible resource exhaustion when parsing file data in forms
- GHSA-hrfv-mqp8-q5rwWerkzeug DoS: High resource usage when parsing multipart/form-data containing a large part with CR/LF character at the beginning
- GHSA-29vq-49wr-vm6x Werkzeug safe_join() allows Windows special device names
- GHSA-87hc-h4r5-73f7 Werkzeug safe_join() allows Windows special device names with compound extensions
- GHSA-g6x2-hccm-hh4mWerkzeug safe_join() allows Windows special device names
- GHSA-hgf8-39gv-g3f2Werkzeug safe_join() allows Windows special device names
filelock 3.32.2결함 3개4.2.1에서 수정됨누군가 데이터나 파일을 바꿀 수 있습니다. 기기에 접근할 수 있어야만.
- GHSA-v4x8-3wr5-3wq8filelock ReadWriteLock: SQLite reopens the lock database by name, so a planted symlink or journal file makes the lock user's process overwrite or unlink its own files
- GHSA-567q-5qvw-pf92filelock: On Windows an oplock on a soft lock's marker holds SoftFileLock.acquire() past its timeout and blocks the stale break
- GHSA-9vhv-jxww-xfm5filelock: ReadWriteLock on Windows acts on SQLite side files another local user places beside its database
urllib3 2.7.0결함 3개2.8.0에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
- GHSA-vxq7-64xx-v4gwurllib3: HTTPResponse.stream()/read_chunked() buffers an unbounded chunk-size line into memory
- GHSA-gh4c-6fx4-qh6gurllib3: Chunked Deflate streaming can enter an infinite loop
- GHSA-8988-9cw3-xx77urllib3: HTTPS proxy TLS configuration may be ignored or overridden
flask 2.3.2결함 1개3.1.3에서 수정됨영향이 명시되지 않은 결함입니다. 인터넷 어디서나, 계정 없이도.
- GHSA-68rp-wp8r-4726Flask session does not add `Vary: Cookie` header when accessed in some ways
바뀌면 이메일로 알려 주세요
확인용 이메일 한 통을 보낸 뒤, 답이 나빠지거나 새로운 심각한 결함이 생길 때만 보냅니다. 하루에 많아야 한 통, 공격에 쓰이고 있으면 바로 보냅니다. 수신 거부는 클릭 한 번.
README에 배지 넣기
이 답을 보여 주고, 답이 바뀌면 함께 바뀝니다.
[](https://istheinternetok.com/r/pallets/flask/)읽은 파일: examples/celery/requirements.txt, uv.lock.