A tartalom-eljuttató rendszerben a gyorsítótárazás megszervezésében történt hiba miatt egy telepítés betöltésekor a múlt héten kiadott javító verzió előzetes verzió, amely nem tartalmazza az összes javítást. A probléma csak az archívumot , telepítés helyesen terjedt el.
Minden olyan felhasználónak, aki a publikálás utáni 12 órában töltötte le a "Python-3.5.8.tar.xz" fájlt, ajánlott ellenőriznie a letöltött adatok helyességét a checksum (MD5 4464517ed6044bca4fc78ea9ed086c36) alapján. A végleges kiadással ellentétben az előzetes verzió nem tartalmazta sebezhetőségek az XML-RPC szerver kódjában. A sebezhetőség lehetővé tette a JavaScript-kód (XSS) behelyettesítését a server_title mezőn keresztül, mivel hiányzott a szögletes zárójelek eltüntetése. A támadó elérhette a JavaScript-kód behelyettesítését, ha az alkalmazás felhasználói bemenet alapján állította be a szerver nevét (például: „server.set_server_name(‘test<script>’)”).
Forrás: opennet.ru
