requirements.txt

# requests: 2.34.2 و نه پایین‌تر. GHSA-gc5v-m9x4-r6x2 (CVE-2026-25645) هر نسخهٔ
# `< 2.33.0` را متأثر می‌کند. سنجشِ دقیقِ دامنهٔ اثر روی همین مخزن: این پروژه
# `extract_zipped_paths()` را هیچ‌جا صدا نمی‌زند، و در ۲.۳۲.۴ خودِ requests فقط
# یک بار و هنگامِ import آن را روی `DEFAULT_CA_BUNDLE_PATH` صدا می‌زد — مسیری
# ثابت و متعلق به نصب، نه ورودیِ کاربر — که در نصبِ عادیِ فایل‌سیستمی در همان
# `os.path.exists` برمی‌گردد و هرگز به شاخهٔ `tempfile.mkstemp` نمی‌رسد. پس
# بهره‌کشیِ عملی اینجا تقریباً صفر بود؛ با این حال هشدار واقعی است و بسته شد
# (در ۲.۳۳.۰+ آن فراخوانیِ داخلی کلاً حذف شده است).
# پیش از بالا بردنِ pin آزموده شد: کلِ سوئیتِ ۳۰۱ تست زیرِ ۲.۳۴.۲ پاس شد و یک
# fetchِ زندهٔ واقعی از مسیرِ همان `fetch_source()` با HTTP 200 برگشت.
requests==2.34.2
PyYAML==6.0.3
# maxminddb: خواندنِ پایگاهِ دادهٔ GeoIP (DB-IP Country Lite) برای تعیینِ کشورِ
# واقعیِ سرور. عمداً `geoip2` نصب نمی‌شود: آن بسته فقط یک لایهٔ مدل روی همین
# کتابخانه است و `aiohttp` را هم می‌آورد، در حالی که maxminddb هیچ وابستگی‌ای
# ندارد و در آزمونِ ۳۷۲۰ آی‌پیِ واقعی، نتیجهٔ صددرصد یکسان با ۱٫۸۲ برابر سرعت داد.
maxminddb==3.1.1