A classe `HTTPPasswordMgr` no módulo `urllib.request`, incluindo suas subclasses `HTTPPasswordMgrWithDefaultRealm` e `HTTPPasswordMgrWithPriorAuth`, não considera o esquema da URL ao associar credenciais armazenadas a uma URL solicitada. Isso permite que credenciais destinadas ao `https://` sejam enviadas via `http://` caso um invasor consiga redirecionar ou rebaixar a conexão do cliente, podendo resultar na captura de credenciais em texto claro. Inversamente, credenciais para `http://` poderiam ser enviadas via `https://`. A correspondência de credenciais agora é limitada pelo esquema da URL, significando que credenciais registradas com um esquema específico são usadas apenas para solicitações com o mesmo esquema, enquanto aquelas registradas com uma autoridade simples permanecem compatíveis com qualquer esquema.