CVE-2025-4516

W CPython moduł email nieprawidłowo cytuje znaki nowej linii w nagłówkach wiadomości e-mail podczas serializacji. Umożliwia to wstrzyknięcie nagłówka (header injection) podczas serializacji wiadomości e-mail, co stanowi podatność średniego ryzyka (MEDIUM).

Funkcje urllib.parse.urlsplit() i urlparse() w Pythonie nieprawidłowo walidują hosty w nawiasach kwadratowych (`[]`), akceptując hosty, które nie są IPv6 ani IPvFuture. To zachowanie jest niezgodne z RFC 3986 i może potencjalnie umożliwić ataki SSRF (Server-Side Request Forgery), jeśli URL jest przetwarzany przez więcej niż jeden parser URL.

W CPython występuje podatność średniego ryzyka (MEDIUM) związana z wyrażeniami regularnymi. Podczas analizy nagłówków plików tar w tarfile.TarFile, nadmierne cofanie się (backtracking) w wyrażeniach regularnych może prowadzić do ataku ReDoS (Regular Expression Denial of Service) poprzez specjalnie spreparowane archiwa tar.

W CPython moduł zipfile (konkretnie zipfile.Path) zawiera podatność wysokiego ryzyka (HIGH). Podczas iteracji po nazwach wpisów w archiwum zip (np. metody namelist(), iterdir()) może dojść do nieoczekiwanego zachowania. Należy zauważyć, że popularniejsza klasa zipfile.ZipFile nie jest dotknięta.

W CPythonie, w module bibliotecznym 'http.cookies', wykryto podatność o niskiej wadze. Podczas parsowania ciasteczek zawierających znaki ucieczki z backslashem, parser używa algorytmu o złożoności kwadratowej, co prowadzi do nadmiernego zużycia CPU.

W CPython, hook importu obsługujący starsze pliki *.pyc (SourcelessFileLoader) jest nieprawidłowo obsługiwany w FileLoader (klasie bazowej) i nie używa io.open_code() do odczytu plików .pyc. W związku z tym handlery sys.audit dla tego zdarzenia audytu nie są wywoływane.

W module standardowym CPython 'mimetypes' na Windows domyślna lista znanych lokalizacji plików jest zapisywalna, co pozwala innym użytkownikom tworzyć nieprawidłowe pliki powodujące błąd MemoryError przy starcie Pythona lub błędną interpretację rozszerzeń plików. Problem wynika z używania na Windows domyślnych ścieżek z Linuksa i macOS (np. '/etc/mime.types'), które na Windows są lokalizacjami zapisywalnymi przez użytkownika ('C:\etc\mime.types').

CPython 3.9 i wcześniejsze nie blokują konfiguracji pustej listy ("[]") dla SSLContext.set_npn_protocols(), co jest nieprawidłową wartością dla bazowego API OpenSSL. Prowadzi to do nadmiernego odczytu bufora podczas używania NPN. Podatność ma niską wagę, ponieważ NPN nie jest szeroko używane, a określenie pustej listy jest mało prawdopodobne w praktyce.

W CPython 3.12.0 w module subprocess na platformach POSIX stwierdzono problem: gdy parametr extra_groups=[] jest używany, proces nie wywołuje setgroups(0, NULL) przed exec(), co powoduje, że nowy proces dziedziczy grupy procesu nadrzędnego. Problem został naprawiony w CPython 3.12.1 i dotyczy tylko procesów uruchomionych z uprawnieniami root.

W Pythonie (CPython) do wersji 3.10.8 moduł mailcap nie dodaje znaków ucieczki do poleceń pochodzących z systemowego pliku mailcap. Może to pozwolić atakującym na wstrzyknięcie poleceń powłoki do aplikacji wywołujących mailcap.findmatch z niezaufanymi danymi, jeśli brakuje walidacji nazw plików lub argumentów. Poprawka została również wstecznie przeniesiona do wersji 3.7, 3.8, 3.9.