Kirill Podoprigora

When tarfile or zipfile command line interface (CLI) is used to decompress an archive, a Python script shadowing the stdlib can be created. Then if an error occurs during decompressing the next file, the newly created Python script is executed. This is especially true if the created Python is called traceback.py. The problem is that Python adds the current directory to sys.path when python -m MODULE is run, and the archive is also decompressed in the current directory. The fix removes sys.path[0] in gzip, tarfile and zipfile command line interface to prevent shadowing standard library modules from extracted files.

http.cookiejar.CookieJar deleted a stored cookie when a response carried an already expired Set-Cookie header for it, using the Domain and Path attributes from the header without consulting the cookie policy. A server could therefore delete cookies belonging to other domains from a shared cookie jar, such as the one used by urllib's HTTPCookieProcessor. The fix consults the cookie policy before an expired cookie may delete an existing one, as required by RFC 6265 section 5.3.

When ca certs parameter was supplied to ssl.get server certificate() function, the identity of the certificate is not checked.

تفشل فئة `HTTPPasswordMgr` في وحدة `urllib.request`، بما في ذلك فئاتها الفرعية `HTTPPasswordMgrWithDefaultRealm` و`HTTPPasswordMgrWithPriorAuth`، في أخذ نظام عناوين URL في الاعتبار عند مطابقة بيانات الاعتماد المخزنة مع عنوان URL المطلوب. وهذا يسمح بإرسال بيانات الاعتماد المخصصة لـ `https://` عبر `http://` إذا تمكن المهاجم من إعادة توجيه اتصال العميل أو تخفيض مستواه، مما قد يؤدي إلى الاستيلاء على بيانات الاعتماد بنص عادي. وعلى العكس، يمكن إرسال بيانات الاعتماد الخاصة بـ `http://` عبر `https://`. أصبحت مطابقة بيانات الاعتماد الآن مقيدة بنظام عناوين URL، مما يعني أن بيانات الاعتماد المسجلة بنظام معين تُستخدم فقط للطلبات التي تستخدم نفس النظام، في حين تظل تلك المسجلة بسلطة عارية متوافقة مع أي نظام.