Schwachstelle im Python Package 'requests'

[Msinn]

Im Python Package requests wurde eine Schwachstelle gefunden (CVE-2018-18074). Ich empfehle daher jedem Nutzer von SmartHomeNG das requests Package auf die zurzeit aktuelle Version 2.20.0 zu aktualisieren.

Das geschieht mit dem Kommando

sudo pip3 install requests --upgrade

[gama]

Mal hoffen, dass telepot zeitnah nachzieht:
telebot 0.0.3 has requirement requests==2.7.0, but you'll have requests 2.20.0 which is incompatible.

[psilo]

das nokia pip paket meckert da auch, habe trotzdem hochgezogen und alles ist gut..

[bmx]

Was willst Du mit einer Lib die 2016 das letzte mal aktualisiert wurde und einen pre-alpha Status hat?

[henfri]

Hallo,

ist im Docker-Container
henfri/smarthome-ng:v1.5.1b
gefixt.

Gruß,
Hendrik

[Msinn]

Mal hoffen, dass telepot zeitnah nachzieht:

Das halte ich für eher unwahrscheinlich. Im github Repo von telebot hat sich seit 3 Jahren nichts getan und das ganze Repo hat nur 13 Commits.

telebot behauptet in der Config nur mit exakt Version 2.7.0 von requests laufen zu können, was eher unwahrscheinlich ist.

Wofür nutzt Du denn diese pre-Alpha Software mit SmartHomeNG? Wäre es nicht sinnvoller das telegram Plugin zu nutzen?

Oder: mach Dir einen Fork von telebot, nimm das harte Requirement raus und teste ob es dann läuft. Du musst dann vermutlich nur telebot selber pflegen.

[Tom Bombadil]

Nur am Rande: Hatte den gleichen Fehler mit telebot, auch auf meiner neuen (noch recht frischen) Install - und da es mir (wie 95% der anderen libs) nichts sagt, gehe ich davon aus, dass es automatisch über die requirements mit installiert wurde …
/tom

[Msinn]

Ich habe es bei mir nicht auf dem Rechner und es steht in keinen Requirements von SmartomeNG Core oder Plugins.

Es kann also nur verdeckt mit der Installation eines Packages mitinstalliert worden sein. Aber welches Python Package würde auf einer pre-Alpha Version aufsetzen?