Seth Larson

When tarfile or zipfile command line interface (CLI) is used to decompress an archive, a Python script shadowing the stdlib can be created. Then if an error occurs during decompressing the next file, the newly created Python script is executed. This is especially true if the created Python is called traceback.py. The problem is that Python adds the current directory to sys.path when python -m MODULE is run, and the archive is also decompressed in the current directory. The fix removes sys.path[0] in gzip, tarfile and zipfile command line interface to prevent shadowing standard library modules from extracted files.

IMAP4.starttls() wraps the socket in TLS but leaves self. readbuf, imaplib's own read-ahead buffer, untouched. Any plaintext bytes that arrived in the same recv() as the tagged OK to STARTTLS are returned by readline() after the handshake, so the client treats them as the first responses on the protected channel. A network attacker who cannot break TLS can append forged lines after the server's OK, let the handshake complete with the real server and a valid certificate, and have the client accept the forged CAPABILITY and the forged tagged completion of the next command. This is the STARTTLS command/response injection class of CVE-2011-0411.

When ca certs parameter was supplied to ssl.get server certificate() function, the identity of the certificate is not checked.

There was a regression in how FIPS algorithms were enforced for the hashlib module. Only users that are using OpenSSL in FIPS mode are affected. Only Python 3.14.10 is affected, all other Python versions are unaffected.

تقبل الدالة `socket.getaddrinfo()` بايتات فارغة (null bytes) ضمن المعلمتين `host` و `port` مما قد يؤدي إلى اقتطاع القيم بصمت.

تتعامل عملية تحليل جسم الاستجابة والأجزاء (chunks) مع الأعداد الصحيحة غير السداسية عشرية أو السالبة بشكل غير صحيح، مما قد يؤدي إلى تفسير خاطئ لمحتويات استجابة HTTP.

يفشل نموذج `ssl` في عدم الثقة بشهادات الوسيط المعروفة بأنها مخترقة. ولمعالجة ذلك، تم إضافة قائمة حظر (denylist) للشهادات المخترقة لضمان رفض هذه الشهادات تلقائيًا، بغض النظر عن تكوين سياسة `SSLContext` وحتى في حالة عدم تكوين إلغاء الشهادات.

A remote, unauthenticated TLS client can cause a server to crash or trigger a use-after-free condition (where the system attempts to use a memory pointer after it has been freed) if the `sni callback` assigns a different context to `SSLSocket.context` and the original `ssl.SSLContext` is not kept alive. This typically occurs in servers that replace the context while connections are open or create an `SSLContext` per connection. Servers that wrap their listening socket are not affected.

The `ssl.SSLContext.wrap bio()` function fails to require the `server hostname` argument to be non-null when `ssl.SSLContext.check hostname` is enabled. Due to a missing parameter check in `SSLObject`, if the `server hostname` argument is not provided, hostname verification is silently skipped. This can lead to scenarios where certificate hostname verification appears to succeed despite misconfiguration, as no `ValueError` is raised. This issue also affects `asyncio.create connection()` and `asyncio.loop.start tls()`. If a `server hostname` value that is neither an empty string nor None is passed to these APIs, verification proceeds normally.

تقوم الوحدة النمطية `stringprep` بمعالجة الأحرف الواردة في الجداول B.2 أو B.3 من RFC 3454 بشكل غير صحيح، وذلك باستخدام أحدث سمات نقاط الترميز في Unicode بدلاً من Unicode 3.2.0 المطلوب. ويؤدي ذلك إلى حدوث عدم تطابق عند معالجة أسماء النطاقات عبر برنامج الترميز `idna` (IDNA 2003) والدالة `in table b2()`. تؤثر هذه المشكلة بشكل خاص على أسماء النطاقات التي تحتوي على أحرف لم يتم تسجيلها أو تم تحديث سمات Unicode الخاصة بها، مثل سلوك تحويل الأحرف الكبيرة إلى صغيرة، بعد إصدار Unicode 3.2.0.

يمكن لعينات ملفات CSV التي يتحكم فيها المهاجم أن تؤدي إلى إجراء عمليات تعبير منتظم فائقة الخطية أثناء عملية استكشاف اللهجات، مما يؤدي إلى استهلاك كبير لموارد وحدة المعالجة المركزية (CPU) عندما تقوم التطبيقات بتمرير مدخلات غير محدودة إلى الدالة `csv.Sniffer.sniff()`. يشير العمل الخارق للخطي للتعبيرات النمطية إلى حالة يزداد فيها الوقت المستغرق لمعالجة سلسلة نصية بشكل غير متناسب مع طول المدخلات، مما قد يتسبب في حدوث هجوم رفض الخدمة.

يحتوي محلل HTML التراكمي `html.parser.HTMLParser` على ثغرة تسمح بحدوث هجوم «رفض الخدمة» على وحدة المعالجة المركزية (CPU) عند معالجة بيانات غير خاضعة للرقابة. السبب الجذري هو المعالجة غير السليمة للمدخلات التي تؤدي إلى سلوك تحليل غير طبيعي، وتحديدًا تعقيد الخوارزمية واستنفاد الموارد، عندما تُترك إعلانات الترميز دون إنهاء بشكل متكرر. يمكن للمهاجم استغلال هذه الثغرة عن طريق تزويد أي خدمة أو مسار باستخدام `HTMLParser` بـ HTML مُصمم خصيصًا، مما قد يؤدي إلى استنفاد نوى وحدة المعالجة المركزية (CPU) وتدهور أو فشل تام للتطبيقات المتأثرة.

في الدالة `extract()` التابعة لوحدة Tarfile، لا تتم معالجة المعلمة `filter` بشكل صحيح عند استخراج الروابط الثابتة. تسمح هذه المشكلة للنظام الذي يستخرج محتوى من ملفات tar غير موثوق بها بكتابة ملفات ذات معرّفات uid/gid غير متوقعة، حتى عندما يكون المستخدم قد حدد `filter=’data‘` لتقييد عملية الاستخراج.

عند استخدام الوحدة النمطية `configparser` لكتابة ملفات التكوين التي تحتوي على قيم نصية متعددة الأسطر تتضمن أحرف إرجاع عربة (r)، قد يتم إدخال مفاتيح وقيم غير متوقعة في الملف الناتج إذا كان المهاجم يتحكم في القيمة المكتوبة.

يمكن تجاوز وظيفة `tarfile.data filter` باستخدام إدخالات روابط مصممة خصيصًا، مثل الروابط الرمزية ذات الأسماء الفارغة أو التي تشبه أسماء الدلائل. وهذا يسمح لأرشيف tar ضار بإعادة توجيه عناصر الأرشيف اللاحقة خارج دليل الاستخراج المقصود، مما يتسبب في قيام الدالة `tarfile.extractall()` بكتابة الملفات إلى مواقع عشوائية على النظام، اعتمادًا على أذونات العملية التي تقوم بعملية الاستخراج.

قد تستهلك الدالة `unicodedata.normalize()` وقتًا مفرطًا من وحدة المعالجة المركزية (CPU) عند معالجة مدخلات يونيكود مصممة خصيصًا. ويحدث ذلك عندما تحتوي المدخلات على تسلسلات طويلة من الأحرف المركبة ذات قيم متناوبة لفئة التجميع القياسية (Canonical Combining Class)، مما يؤثر على جميع أشكال التوحيد.

في نظام التشغيل Windows، تفشل الدالة `shutil.unpack archive()` في التحقق بشكل صحيح من المسارات المطلقة داخل أرشيفات ZIP. إذا احتوى الأرشيف على مسار يتضمن حرف محرك أقراص (على سبيل المثال، `C:`)، فقد يتم استخراج الملفات خارج الدليل الهدف المقصود.

تُنفَّذ وظيفة فحص التحديث التلقائي بعد تثبيت ملفات wheel، الأمر الذي يتطلب استيراد أسماء وحدات Python معروفة. وقد تم تأجيل عمليات الاستيراد هذه لتحسين وقت بدء تشغيل واجهة سطر الأوامر (CLI) لـ pip. ويسمح هذا السلوك باستيراد الوحدات المثبتة حديثًا بعد فترة وجيزة من تثبيت حزمة wheel.

تُرجع الدالة `js output()` الموجودة داخل `http.cookies.Morsel` مقتطفًا مضمنًا `<script>` لا يقوم بتحويل علامات الاقتباس المزدوجة إلا في سياق سلاسل JavaScript. وهي تفشل في تحييد تسلسل `</script>`، الذي يعتبر حساسًا لمحلل HTML، مما يسمح بحدوث هروب محتمل داخل عنصر البرنامج النصي الذي تم إنشاؤه.

في أنظمة Windows، تفتقر الدالة `sock recvfrom into()` الموجودة ضمن `asyncio.ProacterEventLoop` إلى فحص حدود مخزن البيانات المؤقت عند استخدام المعلمة `nbytes`. يمكن أن تؤدي هذه الثغرة إلى كتابة خارج حدود المخزن المؤقت إذا تجاوزت البيانات المستلمة عبر الشبكة حجم المخزن المؤقت، مما قد يؤدي إلى تلف الذاكرة أو تعطل النظام أو تنفيذ تعليمات برمجية عشوائية. لا تتأثر الأنظمة الأساسية غير التي تعمل بنظام Windows بهذه الثغرة.