JVNDB-2026-009542

Python Software FoundationのRequestsにおける安全でない一時ファイルに関する脆弱性

RequestsはHTTPライブラリです。バージョン2.33.0以前では、`requests.utils.extract_zipped_paths()`ユーティリティ関数は、システムの一時ディレクトリにzipアーカイブからファイルを抽出する際に予測可能なファイル名を使用していました。対象ファイルがすでに存在する場合、検証なしに再利用されます。ローカルの攻撃者が一時ディレクトリへの書き込み権限を持っている場合、正規のファイルの代わりに読み込まれる悪意のあるファイルを事前に作成することが可能です。Requestsライブラリの標準的な使用方法はこの脆弱性の影響を受けません。直接`extract_zipped_paths()`を呼び出すアプリケーションのみが影響を受けます。バージョン2.33.0以降では、ライブラリはファイルを非決定的な場所に抽出するようになりました。開発者がアップグレードできない場合は、環境変数`TMPDIR`を、書き込み権限が制限されたディレクトリに設定することで対応可能です。

Python Software Foundation

• Requests 2.33.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Insecure Temp File Reuse in extract_zipped_paths()  Advisory  psf/requests  GitHub

1. 安全でない一時ファイル(CWE-377) [その他]

1. CVE-2026-25645

1. National Vulnerability Database (NVD) : CVE-2026-25645
2. 関連文書 : Release v2.33.0  psf/requests  GitHub
3. 関連文書 : Unicorn!  GitHub

• [2026年04月01日]
    掲載