Den felaktiga versionen spreddes av misstag istället för Python 3.5.8.

På grund av ett fel vid organisering av cachning i systemet för innehållsleverans, när man försöker ladda en av byggnaderna publicerad för två dagar sedan av den korrigerande versionen Python 3.5.8 spriddes var en förhandsversion som inte innehöll alla korrigeringar. Problemet påverkade bara arkivet Python-3.5.8.tar.xz, byggnaden Python-3.5.8.tgz distribuerades korrekt.

Alla användare som laddade ner filen "Python-3.5.8.tar.xz" inom de första 12 timmarna efter utgivningen rekommenderas att kontrollera korrektheten av de nedladdade uppgifterna med hjälp av kontrollsumman (MD5 4464517ed6044bca4fc78ea9ed086c36). Till skillnad från den slutgiltiga versionen innehöll förhandsversionen inte fix sårbarheten CVE-2019-16935 i koden för XML-RPC-servern. Sårbarheten tillät injicering av JavaScript-kod (XSS) via server_title-fältet på grund av bristen på rensning av vinklar. En angripare kunde orsaka injektion av JavaScript-kod om applikationen ställer in servernamnet baserat på användarinmatning (till exempel "server.set_server_name(‘test<script>’)").

Källa: opennet.ru