PyPI блокирует загрузку файлов в релизы старше 14 дней

С 23 июля PyPI отклоняет загрузку новых файлов в релизы, которым больше 14 дней. Ограничение режет риск отравления давно вышедших стабильных версий, если скомпрометированы токены публикации или CI-воркфлоу проекта.

Seth Larson из PyPI отмечает, что злоупотреблений пока не зафиксировано — скорее потому, что атакующие не знали о такой возможности, а не потому, что подмена была технически невозможна.

Что меняется для зависимостей

Раньше к релизу месячной или годовой давности можно было дописать новый файл под тем же номером версии. Теперь такое окно ограничено 14 днями с момента публикации релиза — после этого индекс новые загрузки в старый релиз не примет.

Источник: Quoting Seth Larson.