deps(1.8.0 GA): OSV/audit vermelhos na main — pyjwt 2.14.0, fsspec 2026.4.0 (CVSS 8.8), pymongo 4.18.1 (CVSS 8.4) #2060

O que

Na PR #2059 (e portanto contra a main, de onde ela parte), dois jobs de dependência falham por vulnerabilidades já presentes no lock da main. Não foram introduzidas pela PR: ela só mexe em werkzeug, starlette, docs e dedup.

Achados (CI, 2026-10-11)

OSV: "Total 6 packages affected by 12 known vulnerabilities (0 Critical, 8 High, 4 Medium)", contando uv.lock e pylock.toml como fontes separadas, ou seja 3 pacotes distintos. O pymongo entra pelo extra nosql (pyproject.toml ~160) e o pip-audit do CI não o instala, por isso só o OSV o vê.

Relação com o trabalho em curso

• pyjwt 2.15.1 já está commitado no epic epic: pendências pequenas verificadas p/ 1.8.0 GA — deps estáveis (#2026), semgrep pin (#2025/#2005), shellcheck (#1926), colisão de caixa (#2044) #2055 (commit 2f1b521f, item deps(1.8.0 GA): pydantic==2.14.0b2 é pré-release; subir para estável (+ pyjwt 2.14.0 → 2.15.x, higiene P3) #2026), que ainda não tem PR aberta por depender da atestação do tripwire. Esse commit não toca arquivo de gate e pode ir antes.
• fsspec e pymongo não estão cobertos por nenhum epic.

Fatia

• Subir pyjwt (2.15.1), fsspec (>= 2026.6.0) e pymongo (>= 4.18.2) no uv.lock, reexportando requirements.txt/pylock.toml.
• Conferir por parse que só esses pacotes (e dependências estritamente necessárias) mudam, sem pré-release e sem downgrade (o filelock mostrou como isso falha).
• Rodar a suíte, incluindo os testes dos conectores nosql.

Aceite

• OSV dependency scan e Dependency audit verdes na PR.
• Diff do lock restrito aos 3 pacotes e seus requisitos.

Não toca arquivo do tripwire (ADR-0071). Recomendatório; implementação é do Cursor. Relacionada: #2026, #2056.