ແທນທີ່ຈະເປັນ Python 3.5.8, ສະບັບທີ່ບໍ່ຖືກຕ້ອງໄດ້ຖືກແຈກຢາຍໂດຍຄວາມຜິດພາດ

ເນື່ອງຈາກຄວາມຜິດພາດໃນເວລາທີ່ຈັດຖານຄວາມຈໍາໃນລະບົບການຈັດສົ່ງເນື້ອຫາ, ເມື່ອພະຍາຍາມດາວໂຫລດຫນຶ່ງຂອງສະພາແຫ່ງ ຈັດພີມມາ ມື້ກ່ອນການປ່ອຍຕົວແກ້ໄຂມື້ວານນີ້ Python 3.5.8 ແຜ່​ກະ​ຈາຍ​ເຊື້ອ ການກໍ່ສ້າງຕົວຢ່າງທີ່ບໍ່ມີການແກ້ໄຂທັງຫມົດ. ບັນຫາ ແຕະຕ້ອງ ເກັບມ້ຽນເທົ່ານັ້ນ Python-3.5.8.tar.xz, ປະກອບ Python-3.5.8.tgz ແຈກຢາຍຢ່າງຖືກຕ້ອງ.

ຜູ້ໃຊ້ທຸກຄົນທີ່ດາວໂຫລດໄຟລ໌ "Python-3.5.8.tar.xz" ໃນ 12 ຊົ່ວໂມງທໍາອິດຫຼັງຈາກການປ່ອຍອອກມາແມ່ນແນະນໍາໃຫ້ກວດເບິ່ງຄວາມຖືກຕ້ອງຂອງຂໍ້ມູນທີ່ດາວໂຫລດໂດຍໃຊ້ checksum (MD5 4464517ed6044bca4fc78ea9ed086c36). ບໍ່ເຫມືອນກັບການປ່ອຍຕົວສຸດທ້າຍ, ສະບັບສະແດງຕົວຢ່າງບໍ່ໄດ້ລວມເອົາ ການແກ້ໄຂ ຄວາມອ່ອນແອ CVE-2019-16935 ໃນລະຫັດເຊີບເວີ XML-RPC. ຊ່ອງໂຫວ່ອະນຸຍາດໃຫ້ສີດ JavaScript (XSS) ຜ່ານຊ່ອງ server_title ເນື່ອງຈາກການຂາດການຫລົບຫນີຂອງວົງເລັບມຸມ. ຜູ້ໂຈມຕີສາມາດບັນລຸການທົດແທນ JavaScript ຖ້າແອັບພລິເຄຊັນຕັ້ງຊື່ເຊີບເວີໂດຍອີງໃສ່ການປ້ອນຂໍ້ມູນຂອງຜູ້ໃຊ້ (ຕົວຢ່າງ, "server.set_server_name('test. ’)»).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru