Bénédikt Tran

When ca certs parameter was supplied to ssl.get server certificate() function, the identity of the certificate is not checked.

There was a regression in how FIPS algorithms were enforced for the hashlib module. Only users that are using OpenSSL in FIPS mode are affected. Only Python 3.14.10 is affected, all other Python versions are unaffected.

A função `ssl.SSLContext.wrap bio()` não exige que o argumento `server hostname` seja diferente de None quando `ssl.SSLContext.check hostname` está ativado. Devido a uma verificação de parâmetro ausente em `SSLObject`, se o argumento `server hostname` não for fornecido, a verificação do nome do host é silenciosamente ignorada. Isso pode levar a situações em que a verificação do nome do host do certificado parece ter sucesso, apesar de uma configuração incorreta, pois nenhum `ValueError` é gerado. Este problema também afeta `asyncio.create connection()` e `asyncio.loop.start tls()`. Se um valor de `server hostname` que não seja uma string vazia ou None for passado para essas APIs, a verificação prossegue normalmente.

Um cliente TLS remoto e não autenticado pode causar a falha de um servidor ou desencadear uma condição de use-after-free (onde o sistema tenta usar um ponteiro de memória após ele ter sido liberado) se o `sni callback` atribuir um contexto diferente ao `SSLSocket.context` e o `ssl.SSLContext` original não for mantido ativo. Isso ocorre tipicamente em servidores que substituem o contexto enquanto as conexões estão abertas ou que criam um `SSLContext` por conexão. Servidores que envolvem seu socket de escuta não são afetados.

A função `unicodedata.normalize()` pode consumir tempo excessivo de CPU ao processar entradas Unicode especialmente criadas. Isso ocorre quando a entrada contém sequências longas de caracteres de combinação com valores alternados de Canonical Combining Class, afetando todas as formas de normalização.

A função `ftpcp()` em Lib/ftplib.py não utiliza o endereço real do peer, confiando em vez disso no endereço do host fornecido pelo servidor durante um comando PASV. Isso ocorre porque a `ftpcp()` chama a `parse227()` diretamente e passa o endereço IP e a porta brutos, controláveis por um atacante, para `target.sendport()`, resultando em um Server-Side Request Forgery (SSRF), onde um servidor é enganado para fazer requisições não intencionais a recursos internos ou externos.

The Expat parser, when used with a registered ElementDeclHandler, is susceptible to a C stack overflow when processing an inline document type definition with a deeply nested content model. This occurs during the parsing of XML documents containing complex and deeply nested DTD content models.