pip-audit 偵測到 17 個已知安全漏洞（5 個套件）

[dofliu]

問題描述

執行 pip-audit 掃描發現 17 個已知安全漏洞，分布在 5 個套件中。

漏洞摘要

套件	目前版本	漏洞數	建議升級至
cryptography	41.0.7	7	≥ 46.0.6
pip	24.0	4	≥ 26.0
pyjwt	2.7.0	1	≥ 2.12.0
setuptools	68.1.2	3	≥ 78.1.1
wheel	0.42.0	2	≥ 0.46.2

重要 CVE

• CVE-2023-50782 (cryptography): RSA 解密漏洞
• CVE-2024-0727 (cryptography): PKCS12 解析漏洞
• CVE-2026-26007 (cryptography): 加密相關漏洞
• CVE-2026-32597 (pyjwt): JWT 相關漏洞
• CVE-2024-6345 (setuptools): setuptools 漏洞

偵測方式

pip-audit

建議修復步驟

1. 更新 requirements.txt 中的版本約束
2. 執行 pip install --upgrade cryptography pyjwt setuptools wheel
3. 重新執行 pip-audit 確認修復
4. 注意 cryptography 大版本升級可能有 breaking changes，需測試兼容性

影響範圍

• 主要為基礎設施套件，不直接影響應用功能
• cryptography 升級跨度較大（41→46），建議優先處理
• pyjwt 升級對未來 部署強化 — 認證、權限、Docker、HTTPS #26 JWT 認證實作有影響