Longwei Wang

A flaw exists where the source-address critical option in the Permissions returned by certain authentication callbacks is not validated against the client's remote address. This results in source-address restrictions being silently ignored when using the `PasswordCallback`, `KeyboardInteractiveCallback`, `NoClientAuthCallback`, and `GSSAPIWithMICConfig.AllowLogin` callbacks. The restriction was previously only enforced for `PublicKeyCallback` and `VerifiedPublicKeyCallback` paths.

تقبل الدالتان `ToASCII()` و`ToUnicode()` بشكل غير صحيح التسميات المشفرة بـ Punycode التي يتم فك تشفيرها إلى تسمية ASCII فقط. على سبيل المثال، تُرجع الدالة `ToUnicode(”xn--example-.com“)` القيمة ”example.com“ بدلاً من إرجاع خطأ. يمكن أن يؤدي هذا السلوك إلى تصعيد الامتيازات في البرامج التي تستخدم حزمة idna؛ فقد يرفض البرنامج الذي يجري فحوصات الامتيازات على اسم مضيف ASCII ”example.com“ ولكنه يسمح بـ ”xn--example-.com“، ومن ثم يمنح الوصول إلى ”example.com“ بعد تحويل اسم المضيف إلى Unicode.