Door een fout in de cachingorganisatie binnen het content delivery network, bij het proberen te downloaden van een van de builds eergisteren van de corrigerende release een voorlopige build die niet alle correcties bevatte. Het probleem alleen het archief , de build circuleerde correct.
Alle gebruikers die het bestand ‘Python-3.5.8.tar.xz’ binnen de eerste 12 uur na de release hebben gedownload, wordt aangeraden om de juistheid van de gedownloade gegevens te controleren aan de hand van de controlehash (MD5 4464517ed6044bca4fc78ea9ed086c36). In tegenstelling tot de definitieve release bevatte de voorlopige versie niet kwetsbaarheden in de XML-RPC servercode. De kwetsbaarheid maakte het mogelijk om JavaScript-code (XSS) in te voeren via het veld server_title door het ontbreken van escaping van haakjes. Een aanvaller kon JavaScript-code invoegen als de applicatie de servernaam op basis van gebruikersinvoer instelt (bijvoorbeeld 'server.set_server_name(‘test<script>’)').
Bron: opennet.ru
