Brotliの脆弱性（HTTP2Shell）対策 Brotliを直接インストールしていなくてもurllib3（場合によってはrequests）、httpxなどをインストールしたときに依存関係で入ってることがあると 対応 python -m pip show Brotli brotlicffi でBrotli、brotlicffiがインストールされているか確認して、 （続く） pic.x.com/YLHrPOKeSL

Python の requests や httpx、 aiohttp は、 brotli が入っていれば自動で 使う。 コードに import brotli と 書いていなくても 対象になるんだよね。 実際に自分の環境を 点検したら、 全部、自分では入れた 覚えのないもの。 依存関係で勝手に 入っていた。 ✨ 確認するコマンドや、 Claude x.com/20864717574778…

ローカルPCでの攻撃経路: サーバへの攻撃だけでなく、手元のプログラムが外部サーバの返す Brotli 圧縮の応答を自動で展開するときにも攻撃されえます。Node.js の fetch() は、この展開を標準で行います。Python の requests / urllib3 は、Brotli のパッケージが入っていれば自動で展開します。

返信先:@ma7ma7pipipiはい、多くの場合デフォルトで影響します。 Node.jsのfetch()はContent-Encoding: brを自動解凍します。Express 5のbody-parserやBunのfetchも同様。PythonのrequestsなどもBrotliパッケージがあればデフォルトで解凍します。

サーバ側の対応で済むと思ってた話が結局Node.jsだったりPythonだったりに波及して、ローカルのプログラムも危ないから更新が必要…の認識。 関連パッケージの更新はしたけども、今回のBrotliの話の影響がわからん。requestsとhttpxつかってると影響あるかも？程度しか把握できてない…

OS 標準の Python requests パッケージなどはシステム標準のトラストストア (ca-certificates) を参照するよう改変されているが、自前の venv に requests 入れると参照先トラストストアとして certifi も入る。ca-certificates パッケージが emSign を排除しても、venv を更新しないと信頼し続ける。 x.com/shibu_jp/statu…

エージェント開発で重宝する小技：タイムアウト例外処理 PythonでAPI呼び出し時に`requests`ライブラリを使用する際、`timeout`パラメータを設定することで、応答が遅い場合に自動的に例外を発生させます。例：`requests.get(url, timeout=5)`。これだけで深夜の停止エラーを8割防げます。

証明書ストアがOSやらブラウザやらアプリ内蔵やらで色んなとこにある上に相互作用する場合あるのどうにかならんのか 対応できてるできてないとか一々確認するの無理だろ pythonのrequestsとかも独自だった記憶が それも影響あるんじゃないか？ と思ったらやっぱり阿鼻叫喚だった😅

pythonのrequestsってOSの証明書を見てるわけじゃないんだ　知らんかった…

この記事の芯は、ブラウザの外です。 私のPCでは、ブラウザの検査は14項目すべて合格でした。なのに同じPCのNode.jsとPythonは、偽の身分証を受け入れました。 更新したら、Node.jsもPythonのrequestsも合格に変わっています。

1. 🔴 Python の古い部品を更新する（aiohttp、requests、urllib3 など。40個の部品に359件の穴）→ 動くか確認 ↑おわった。。

エージェント開発で重宝する小技：タイムアウト制限の設定。Pythonでリクエストを送信する際、`requests.get(url, timeout=5)`と設定することで、5秒以内に応答がなければタイムアウト例外が発生します。これだけで深夜の停止エラーを8割防げます。

証明書がバンドルされている言語やライブラリの問題。あまり話題にされることは少ないけど、これで少し「うわぁ」という感覚が広まるといいなと思いました。例えば便利だからとPythonのrequestsと選ぶとOSの証明書ではなくバンドルしているせいでOSアップデートでは最新にならない。

重要な差が確認できました。Windows標準curlとGitは、両ホストを「失効済み証明書」として拒否しました。一方、PythonではRequestsが一方を、urllib3単体がもう一方を受け入れています。

返信先:@YuTR0N例えばcurl、Python（certifi/requests）、Node.js、Go、Java、Linuxのca-certificates、パッケージマネージャー、DockerやIoT機器など。独自の証明書ストアを持つものは更新が必要です。

補足するとしたら、自分のサイトのログでは、metasploitが使われたり、pythonのrequestsモジュールが使われたりした痕跡もあったので自動スキャンと見て良いと思う

PythonでWebの書籍情報をExcelへ自動保存してみた｜requests・BeautifulSoup・openpyxlの連携｜yuno zenn.dev/yuno_engineer/… #zenn

PythonでWebスクレイピングして20冊分の書籍情報をExcelに自動保存する【requests・BeautifulSoup・openpyxl】 qiita.com/yuno23/items/7… #Qiita @1yuno239121より

AIの知識には賞味期限がある。『写経で学ぶAIエージェント』第6章はWikipediaの窓口に requests で問い合わせる道具を自作し、次に内蔵のWeb検索を借ります。実行係が会社側に移る「サーバー側道具」で決定権を少し譲る、という指摘が本質的。 #AIエージェント #RAG #Python

【WordPress自動投稿】REST APIで記事を自動投稿する方法📝 ✅アプリケーションパスワードで認証 ✅Pythonのrequestsで簡単投稿 ✅status="draft"で下書き保存も可能 401/403/404エラーの対処法も解説！AI×WP自動化連載第3回

これは有益な情報。攻撃者のIPアドレス、User-Agentが公表されている。curl、python-requestsなどはスクレイピング目的で使われたりするからブロック推奨。 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 | 一般社団法人JPCERTコーディネーションセンター jpcert.or.jp/at/2026/at2600…

- これも1件でも出たら要調査 httpRequest.userAgent=("curl/7.88.1" OR "python-requests/2.34.2" OR "python-requests/2.33.1" OR "Metabase-GHSA-vwf4/2.0")

User-Agentも同じ。 curlやpython-requestsが挙がっているけど、どちらも普通のシステム運用や外部連携で使われるもの。 しかもUser-Agentは簡単に変更できる。 文字列だけを見て一律にブロックしても、あまり根本的な対策にはならない。

JPCERTさん．ありがとうございます！ 全CSIRTが感謝！ 不審な送信元IPアドレス - 3.112.252[.]14 - 54.95.112[.]6 - 69.10.51[.]162 - 172.86.91[.]7 - 210.149.87[.]120 User-Agentの例 - curl/7.88.1 - python-requests/2.34.2 - Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) x.com/jpcert/status/…

n8n の Python で requests を使うには、PYTHONPATH ではなく ALLOW_TRANSITIVE_IMPORTS。 パッケージの置き場所と、2つの許可リスト。3つの壁を 2.41.1 の Docker で実測しました。(有料・800円) note.com/tane_log/n/na7… #n8n #Python

記事を投稿しました！ Python requests入門 APIからデータを取得する GET・POST・JSONの基本 on #Qiita qiita.com/s_horikoshi/it…