From cb99fda8b5424cc72e9c0e73e833d9ec48724d35 Mon Sep 17 00:00:00 2001 From: Rossi-Luciano Date: Sun, 16 Aug 2026 19:02:30 -0300 Subject: [PATCH] chore: bump urllib3, requests, minio, python-docx e tenacity (fase 1, #1251) Fase 1 da estrategia de atualizacao de dependencias: bumps de baixo risco, mesmo major, uso raso no codigo. - urllib3 2.2.2 -> 2.7.0 (corrige 6 CVEs, fix versions 2.5.0-2.7.0) - requests 2.32.0 -> 2.34.2 (corrige 2 CVEs; 2.32.0 esta yanked no PyPI por conflito com a mitigacao da CVE-2024-35195) - minio 7.2.0 -> 7.2.20 (sem CVE, patch dentro do mesmo minor) - python-docx 1.1.2 -> 1.2.0 (sem CVE, bump menor) - tenacity 8.2.3 -> 8.5.0 (sem CVE; mantido no major 8.x, NAO pulando para o major 9.x disponivel, para preservar o baixo risco desta fase) Validado com pytest completo usando os pins exatos de requirements.txt: 40 failed, 5973 passed, 30 skipped, identico ao baseline do master (confirmado por duas rodadas). Nenhuma regressao introduzida. tox (apenas py310 disponivel neste ambiente) mostra mais falhas, mas isso e um problema pre-existente do master nao relacionado a este commit: tox.ini resolve dependencias pelos bounds soltos do setup.py, nao pelos pins de requirements.txt, entao nao e sensivel a esta mudanca. Fica documentado para a fase 8 (sincronizar setup.py/tox.ini). --- requirements.txt | 10 +++++----- 1 file changed, 5 insertions(+), 5 deletions(-) diff --git a/requirements.txt b/requirements.txt index 86bdb36f0..7d178b508 100644 --- a/requirements.txt +++ b/requirements.txt @@ -1,9 +1,9 @@ -urllib3==2.2.2 +urllib3==2.7.0 lxml==4.9.3 Pillow==10.1.0 -minio==7.2.0 -requests==2.32.0 -tenacity==8.2.3 +minio==7.2.20 +requests==2.34.2 +tenacity==8.5.0 picles.plumber==0.11 charset-normalizer<3.0 aiohttp==3.9.1 @@ -13,5 +13,5 @@ langcodes==3.3.0 -e git+https://github.com/scieloorg/scielo_scholarly_data#egg=scielo_scholarly_data ipdb==0.13.13 langdetect~=1.0.9 -python-docx==1.1.2 +python-docx==1.2.0 openpyxl==3.1.5