РелизВерсия v3.3.4Важное
Paperless-ngx 3.3.4 обновляет зависимости после инцидента eMudhra
Paperless-ngx 3.3.4 — security-maintenance-релиз с обновлениями сторонних зависимостей: проект закрывает риски, связанные с инцидентом eMudhra, а также уязвимостями Pillow и aiohttp.
22 октября 2026 года проект Paperless-ngx выпустил версию 3.3.4. Это обновление безопасности зависимостей: изменения относятся не к собственному коду Paperless-ngx, а к библиотекам, которые использует система. Разработчики рекомендуют обновиться всем пользователям.
Инцидент eMudhra и обновление доверия
Релиз обновляет certifi и uv из-за инцидента с промежуточными сертификатами eMudhra/emSign. В уведомлении Python Packaging сказано, что затронутые сертификаты потребовали удалить корневой сертификат emSign из наборов доверия, включая certifi. Для экосистемы Python в уведомлении указаны исправленные версии certifi 2026.10.19 и uv 0.13.4.
В Paperless-ngx отдельно обновлён базовый образ uv до ветки 0.13 и набор сертификатов certifi. Это должно исключить доверие к скомпрометированной цепочке в поставляемом окружении приложения.
Исправления Pillow и aiohttp
В сборку также вошли версии Pillow и aiohttp с исправлениями известных уязвимостей. Официальное описание Paperless-ngx не перечисляет для них конкретные CVE и условия эксплуатации, поэтому релиз не следует трактовать как исправление уязвимости в самом Paperless-ngx.
Обновление относится к self-hosted-установкам Paperless-ngx. Рекомендация установить 3.3.4 исходит от разработчиков проекта; собственных испытаний Удельта не проводила.