Devido a um erro na organização do cache no sistema de entrega de conteúdo, ao tentar carregar uma das compilações anteontem como um lançamento corretivo esta era uma compilação preliminar, que não continha todas as correções. O problema apenas o arquivo , a compilação se espalhou corretamente.
Todos os usuários que baixaram o arquivo "Python-3.5.8.tar.xz" nas primeiras 12 horas após o lançamento devem verificar a integridade dos dados baixados pela soma de verificação (MD5 4464517ed6044bca4fc78ea9ed086c36). Ao contrário da versão final, a versão preliminar não incluía no aplicativo para Windows, que permitia ao usuário elevar seus privilégios no sistema para administrador (a vulnerabilidade foi causada pela interação inadequada entre o cliente GUI sem privilégios e o serviço de sistema). no código do servidor XML-RPC. A vulnerabilidade permitia a injeção de código JavaScript (XSS) através do campo server_title devido à falta de escape de caracteres angulares. Um atacante poderia injetar código JavaScript se a aplicação configurasse o nome do servidor com base na entrada do usuário (por exemplo, "server.set_server_name('test')").
Fonte: opennet.ru
