gti
d95165fc8f
git-subtree-dir: gerenciador git-subtree-mainline:f4f546c928git-subtree-split:34cc9c75a5
23 lines
1.0 KiB
Plaintext
23 lines
1.0 KiB
Plaintext
# Versões mínimas fixadas por segurança (ver auditoria de 2026-08-15):
|
|
# - fastapi 0.115.6 traz starlette >=0.40.0, que corrige um DoS por
|
|
# consumo de memória não limitado ao parsear multipart/form-data
|
|
# (GHSA-f96h-pmfr-66vw / equivalente ao CVE-2024-47874) — POST /login
|
|
# é uma rota pré-autenticação, então esse endpoint é alcançável por
|
|
# qualquer visitante, autenticado ou não.
|
|
# - python-multipart 0.0.9 tinha várias vulnerabilidades de DoS (boundary
|
|
# malformado, headers de parte sem limite, preambulo/epílogo sem
|
|
# limite) corrigidas em versões posteriores — pinado na última estável.
|
|
# - jinja2 3.1.6 corrige escapes do sandbox (baixo risco aqui, já que o
|
|
# painel não renderiza template vindo de entrada do usuário, mas sem
|
|
# custo de compatibilidade manter em dia).
|
|
fastapi==0.115.6
|
|
uvicorn[standard]==0.30.6
|
|
jinja2==3.1.6
|
|
python-multipart==0.0.20
|
|
PyMySQL==1.1.1
|
|
python-dotenv==1.0.1
|
|
httpx==0.27.2
|
|
# SSO para o GTI Fiscal (app/sso.py): asserção JWT assinada com Ed25519.
|
|
PyJWT==2.14.0
|
|
cryptography==50.0.1
|