Kirill Podoprigora

**Nome do Software Vulnerável e Versões Afetadas** Python (versões afetadas não especificadas) **Description** A classe `HTTPPasswordMgr` no módulo `urllib.request`, incluindo suas subclasses `HTTPPasswordMgrWithDefaultRealm` e `HTTPPasswordMgrWithPriorAuth`, não considera o esquema da URL ao associar credenciais armazenadas a uma URL solicitada. Isso permite que credenciais destinadas ao `https://` sejam enviadas via `http://` caso um invasor consiga redirecionar ou rebaixar a conexão do cliente, podendo resultar na captura de credenciais em texto claro. Inversamente, credenciais para `http://` poderiam ser enviadas via `https://`. A correspondência de credenciais agora é limitada pelo esquema da URL, significando que credenciais registradas com um esquema específico são usadas apenas para solicitações com o mesmo esquema, enquanto aquelas registradas com uma autoridade simples permanecem compatíveis com qualquer esquema. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Garanta que as aplicações nunca façam solicitações `http://` simples para hosts nos quais credenciais estejam registradas, por exemplo, não seguindo redirecionamentos para URLs `http://`.