تفشل فئة `HTTPPasswordMgr` في وحدة `urllib.request`، بما في ذلك فئاتها الفرعية `HTTPPasswordMgrWithDefaultRealm` و`HTTPPasswordMgrWithPriorAuth`، في أخذ نظام عناوين URL في الاعتبار عند مطابقة بيانات الاعتماد المخزنة مع عنوان URL المطلوب. وهذا يسمح بإرسال بيانات الاعتماد المخصصة لـ `https://` عبر `http://` إذا تمكن المهاجم من إعادة توجيه اتصال العميل أو تخفيض مستواه، مما قد يؤدي إلى الاستيلاء على بيانات الاعتماد بنص عادي. وعلى العكس، يمكن إرسال بيانات الاعتماد الخاصة بـ `http://` عبر `https://`. أصبحت مطابقة بيانات الاعتماد الآن مقيدة بنظام عناوين URL، مما يعني أن بيانات الاعتماد المسجلة بنظام معين تُستخدم فقط للطلبات التي تستخدم نفس النظام، في حين تظل تلك المسجلة بسلطة عارية متوافقة مع أي نظام.