Seth Larson

When tarfile or zipfile command line interface (CLI) is used to decompress an archive, a Python script shadowing the stdlib can be created. Then if an error occurs during decompressing the next file, the newly created Python script is executed. This is especially true if the created Python is called traceback.py. The problem is that Python adds the current directory to sys.path when python -m MODULE is run, and the archive is also decompressed in the current directory. The fix removes sys.path[0] in gzip, tarfile and zipfile command line interface to prevent shadowing standard library modules from extracted files.

IMAP4.starttls() wraps the socket in TLS but leaves self. readbuf, imaplib's own read-ahead buffer, untouched. Any plaintext bytes that arrived in the same recv() as the tagged OK to STARTTLS are returned by readline() after the handshake, so the client treats them as the first responses on the protected channel. A network attacker who cannot break TLS can append forged lines after the server's OK, let the handshake complete with the real server and a valid certificate, and have the client accept the forged CAPABILITY and the forged tagged completion of the next command. This is the STARTTLS command/response injection class of CVE-2011-0411.

When ca certs parameter was supplied to ssl.get server certificate() function, the identity of the certificate is not checked.

There was a regression in how FIPS algorithms were enforced for the hashlib module. Only users that are using OpenSSL in FIPS mode are affected. Only Python 3.14.10 is affected, all other Python versions are unaffected.

A função `socket.getaddrinfo()` aceita bytes nulos nos parâmetros `host` e `port`, o que pode fazer com que os valores sejam silenciosamente truncados.

A análise do corpo da resposta e de chunks processa inteiros não hexadecimais ou negativos de forma incorreta, o que pode resultar na interpretação errônea dos conteúdos da resposta HTTP.

O módulo `ssl` não desconfia de certificados intermediários comprovadamente comprometidos. Para resolver isso, foi implementada uma denylist de certificados comprometidos para garantir que esses certificados sejam automaticamente rejeitados, independentemente da configuração da política `SSLContext`, mesmo quando a revogação de certificados não estiver configurada.

Um cliente TLS remoto e não autenticado pode causar a falha de um servidor ou desencadear uma condição de use-after-free (onde o sistema tenta usar um ponteiro de memória após ele ter sido liberado) se o `sni callback` atribuir um contexto diferente ao `SSLSocket.context` e o `ssl.SSLContext` original não for mantido ativo. Isso ocorre tipicamente em servidores que substituem o contexto enquanto as conexões estão abertas ou que criam um `SSLContext` por conexão. Servidores que envolvem seu socket de escuta não são afetados.

A função `ssl.SSLContext.wrap bio()` não exige que o argumento `server hostname` seja diferente de None quando `ssl.SSLContext.check hostname` está ativado. Devido a uma verificação de parâmetro ausente em `SSLObject`, se o argumento `server hostname` não for fornecido, a verificação do nome do host é silenciosamente ignorada. Isso pode levar a situações em que a verificação do nome do host do certificado parece ter sucesso, apesar de uma configuração incorreta, pois nenhum `ValueError` é gerado. Este problema também afeta `asyncio.create connection()` e `asyncio.loop.start tls()`. Se um valor de `server hostname` que não seja uma string vazia ou None for passado para essas APIs, a verificação prossegue normalmente.

O módulo `stringprep` processa incorretamente caracteres das tabelas B.2 ou B.3 da RFC 3454 ao utilizar os atributos de codepoint Unicode mais recentes em vez do Unicode 3.2.0 especificado. Isso causa divergências ao processar nomes de domínio usando o codec `idna` (IDNA 2003) e a função `in table b2()`. O problema afeta especificamente nomes de domínio que contenham caracteres que não foram registrados anteriormente ou que tiveram seus atributos Unicode, como o comportamento de case-folding, atualizados desde o Unicode 3.2.0.

Amostras de CSV controladas por um invasor podem desencadear um trabalho de expressão regular superlinear durante a detecção de dialeto (dialect sniffing), consumindo CPU significativa quando as aplicações passam entradas ilimitadas para a função `csv.Sniffer.sniff()`. O trabalho de expressão regular superlinear refere-se a uma condição em que o tempo necessário para processar uma string aumenta desproporcionalmente ao comprimento da entrada, podendo causar a negação de serviço.

O analisador HTML incremental `html.parser.HTMLParser` contém um problema que permite a negação de serviço de CPU ao processar dados não controlados. A causa raiz é o tratamento inadequado de entrada que leva a um comportamento de análise patológico, especificamente complexidade algorítmica e exaustão de recursos, quando as declarações de marcação são repetidamente deixadas sem terminação. Um invasor pode explorar isso fornecendo HTML manipulado para qualquer serviço ou pipeline que utilize o `HTMLParser`, o que pode resultar na exaustão dos núcleos de CPU e na degradação ou falha completa das aplicações afetadas.

Na função `extract()` do módulo Tarfile, o parâmetro `filter` não é tratado corretamente durante a extração de hardlinks. Esse problema permite que um sistema que extraia conteúdo de arquivos tar não confiáveis grave arquivos com uid/gid inesperados, mesmo quando o usuário define `filter='data'` para restringir o processo de extração.

Ao usar o módulo `configparser` para gravar arquivos de configuração contendo valores de texto de várias linhas com caracteres de retorno de carro (r), o arquivo resultante pode ser injetado com chaves e valores inesperados se um invasor controlar o valor gravado.

O `tarfile.data filter` pode ser burlado utilizando entradas de link manipuladas, como links simbólicos com nomes vazios ou semelhantes a diretórios. Isso permite que um arquivo tar malicioso redirecione membros subsequentes do arquivo para fora do diretório de extração pretendido, fazendo com que a função `tarfile.extractall()` escreva arquivos em locais arbitrários no sistema, dependendo das permissões do processo que realiza a extração.

A função `unicodedata.normalize()` pode consumir tempo excessivo de CPU ao processar entradas Unicode especialmente criadas. Isso ocorre quando a entrada contém sequências longas de caracteres de combinação com valores alternados de Canonical Combining Class, afetando todas as formas de normalização.

No Windows, a função `shutil.unpack archive()` não verifica adequadamente caminhos absolutos em arquivos ZIP. Se um arquivo contiver um caminho com uma letra de unidade (ex: `C:`), os arquivos podem ser extraídos fora do diretório de destino pretendido.

A funcionalidade de verificação de autoatualização é executada após a instalação de arquivos wheel, o que requer a importação de nomes de módulos Python conhecidos. Essas importações foram adiadas para melhorar o tempo de inicialização da CLI do pip. Esse comportamento permite que módulos recém-instalados sejam importados logo após a instalação de um pacote wheel.

A função `js output()` dentro de `http.cookies.Morsel` retorna um snippet `<script>` inline que apenas escapa aspas duplas para o contexto de string JavaScript. Ela falha em neutralizar a sequência `</script>`, que é sensível ao analisador HTML, permitindo a possibilidade de escape dentro do elemento de script gerado.

Em sistemas Windows, a função `sock recvfrom into()` dentro de `asyncio.ProacterEventLoop` não possui uma verificação de limite para o buffer de dados ao utilizar o parâmetro `nbytes`. Essa falha pode permitir uma gravação de buffer fora dos limites se os dados de rede recebidos forem maiores que o tamanho do buffer, resultando potencialmente em corrupção de memória, travamentos do sistema ou execução de código arbitrário. Plataformas que não sejam Windows não são afetadas.