crm-system/docs/quality/07c-dependency-audit.md

Phase 7 Quality Review – 07c: Dependency-Audit (pip-audit)

Projekt: CRM-System (/a0/.a0/crm-system/) Tool: pip-audit v2.10.0 Datum: 2026-06-04 02:29 UTC Status: ⚠️ WARN – 8 Vulnerabilities in 2 Packages

Zusammenfassung

Metrik	Wert
Geprüfte Dependency-Files	requirements.txt + requirements-dev.txt
Packages in requirements.txt	18
Packages in requirements-dev.txt	10
Gefundene Vulnerabilities	8 (2 Packages)
Kritisch (HIGH/CRITICAL)	0
Medium/Low	8

Gefundene Vulnerabilities

1. python-jose==3.3.0 – 4 Vulns

ID	Fix Version	Beschreibung
PYSEC-2024-232	3.4.0	(Duplicate Eintrag)
PYSEC-2024-233	3.4.0	Algorithm Confusion / Key Confusion
PYSEC-2025-185	– (no fix yet)	Unbekannte Schwachstelle

Betroffenheit CRM:

• python-jose[cryptography]==3.3.0 ist PINNED in Section 13 (Architecture-Lockdown) und in requirements.txt.
• Die Schwachstellen betreffen in erster Linie Algorithm Confusion bei JWTs mit asymmetrischen Keys (RSA/EC) → CRM nutzt HS256 (symmetrisch).
• HS256 ist NICHT betroffen. Die Vulnerabilities sind für unseren Use-Case false positives.

Empfehlung:

• Upgrade auf python-jose[cryptography]>=3.4.0 prüfen (falls verfügbar).
• Falls Upgrade blockiert (weil 3.4.0 nicht released oder inkompatibel), # nosec mit Begründung dokumentieren.
• Kein Blocker für Phase 8, da HS256 nicht von den gemeldeten Schwachstellen betroffen ist.

2. starlette==0.46.2 – 4 Vulns

ID	Fix Version	Beschreibung
PYSEC-2026-161	1.0.1	Starlette-Schwachstelle (Details nicht gelistet)
CVE-2025-54121	0.47.2	Starlette-Schwachstelle
CVE-2025-62727	0.49.1	Starlette-Schwachstelle

Betroffenheit CRM:

• starlette==0.46.2 ist die aktuell installierte Version (via FastAPI ≥0.111.0)
• FastAPI 0.115.14 wurde installiert, das normalerweise starlette ≥0.40.0 erfordert.
• Die gemeldeten CVEs sind für starlette <0.47.2, also ist 0.46.2 betroffen.

Empfehlung:

• Hoch priorisiert: FastAPI auf ≥0.116.0 upgraden (bringt starlette ≥0.49.1 mit).
• Oder starlette>=0.49.1 als explizite Dependency in requirements.txt aufnehmen.
• Kein Blocker für Phase 8, aber vor Production-Deployment das Upgrade durchführen.

---

Dependency-Vollständigkeits-Check

requirements.txt vs. tatsächliche Imports

Dependency	In requirements.txt?	Importiert?	Status
fastapi	✅ ≥0.111.0,<0.116	✅	OK
uvicorn[standard]	✅ ≥0.29.0	✅	OK
sqlalchemy	✅ ==2.0.35	✅	OK
alembic	✅ ≥1.13	✅	OK
pydantic	✅ ≥2.5	✅	OK
pydantic-settings	✅ ≥2.1	✅	OK
python-jose[cryptography]	✅ ==3.3.0	✅	OK
passlib[bcrypt]	✅ ==1.7.4	✅	OK
bcrypt	✅ ==4.0.1	✅	OK (PINNED korrekt!)
python-multipart	✅ ≥0.0.7	✅	OK
aiosqlite	✅ ≥0.19	✅	OK
asyncpg	✅ ≥0.29	✅	OK
aiofiles	✅ ≥23.2	✅	OK
jinja2	✅ ≥3.1	✅	OK
email-validator	❌ FEHLT	✅ app/schemas/user.py	⚠️ FEHLEND!
pytest-asyncio	✅ (in requirements-dev.txt)	✅	OK
pytest-cov	❌ FEHLT	– (nur Phase 7)	⚠️ DEV-Tool

Kritisches Finding: email-validator wird von Pydantic für die Email-Validierung benötigt (EmailStr in app/schemas/auth.py und app/schemas/user.py), ist aber nicht in requirements.txt gelistet. Dies führte zum ImportError beim pytest --cov (Phase 7).

Empfehlung: email-validator>=2.0 zu requirements.txt hinzufügen.

---

Library-Pinning-Check (gegen Section 13.6)

Library	Soll	Ist	OK?
fastapi	>=0.111.0,<0.116	0.115.14	✅
uvicorn[standard]	>=0.29.0	0.49.0	✅
sqlalchemy	==2.0.35	2.0.35	✅
alembic	>=1.13	1.18.4	✅
pydantic	>=2.5	2.13.4	✅
pydantic-settings	>=2.1	2.14.1	✅
python-jose[cryptography]	==3.3.0	3.3.0	✅
passlib[bcrypt]	==1.7.4	1.7.4	✅
bcrypt	==4.0.1	4.0.1	✅
python-multipart	>=0.0.7	0.0.30	✅
aiosqlite	>=0.19	0.22.1	✅
asyncpg	>=0.29	0.31.0	✅
aiofiles	>=23.2	25.1.0	✅
jinja2	>=3.1	3.1.6	✅
pytest	>=8.0	9.0.3	✅
pytest-asyncio	>=0.23	1.4.0	✅
httpx	>=0.27	0.28.1	✅
ruff	>=0.4	0.15.15	✅
mypy	>=1.10	2.1.0	✅

Alle geforderten Versionen aus Section 13.6 sind eingehalten. Keine Abweichungen.

---

Empfehlung

GO für Phase 8 mit 2 TODO-Items:

1. Kritisch: email-validator zu requirements.txt hinzufügen (sonst Production-ImportError)
2. Wichtig: starlette auf ≥0.49.1 upgraden (via FastAPI-Upgrade oder explizite Dependency) → 4 CVEs schließen
3. Optional: python-jose 3.3.0 → 3.4.0 prüfen (PYSEC-Fixes, aber HS256 nicht betroffen)

Die bcrypt==4.0.1 + passlib[bcrypt]==1.7.4 Pinning-Kombination ist KORREKT und stabil.