Python für Mac

• Fix: ein Absturz oder falsche Ausgabe, die auftreten könnte, wenn ein Float oder Komplex mit einer Präzision formatiert wird, die nahe am INT_MAX der Plattform liegt. PyOS_double_to_string() löst jetzt ValueError für jede Präzision dieser Größenordnung aus, unabhängig vom Präsentationstyp oder Wert, wie es die Formatzeichenfolgenparser bereits für Präzisionen über INT_MAX getan haben.
• asyncio: loop.start_tls() und loop.create_connection() validieren jetzt das Argument server_hostname, wenn ein ssl.SSLContext mit check_hostname auf True übergeben wird.
• ssl.SSLContext.wrap_bio() validiert jetzt seine server_side-, server_hostname- und session-Argumente ähnlich wie ssl.SSLContext.wrap_socket(). Insbesondere löst ein Kontext mit aktiviertem check_hostname und ohne an wrap_bio() übergebenes server_hostname jetzt ValueError aus, anstatt einen Handshake abzuschließen, der die Zertifikatskette verifiziert hat, ohne die Identität des Peers zu überprüfen, ohne anzuzeigen, dass die Überprüfung übersprungen wurde.
• Update: libexpat auf Version 2.8.5 gebündelt.
• Bound: die Menge an Daten, die zipfile pro Lesevorgang für Mitglieder, die mit bzip2, LZMA oder Zstandard komprimiert sind, dekomprimiert, entspricht dem bestehenden Limit für deflate. Ein kleines Archivmitglied konnte zuvor in eine unbegrenzte Zuweisung expandieren, selbst wenn es in kleinen Stücken gelesen wurde.
• Fix: die tarfile tar- und Datenextraktionsfilter, die Verzeichnisse außerhalb des Ziels für Mitglieder erstellen, deren Name das Ziel verlässt und zu ihm zurückkehrt, wie ..\/evil\/..\/dest\/sub\/file. Die Überprüfung der Eingrenzung verwendete den aufgelösten Pfad, aber Zwischenverzeichnisse wurden aus dem angegebenen Namen erstellt.
• Fix: ein Absturz in ssl, wenn ein sni_callback eine Verbindung zu einem anderen SSLContext wechselt und der Kontext, der den Callback trägt, nicht mehr von der Anwendung referenziert wird. Server, die ihren sni_callback-Kontext aktiv halten (der übliche Fall, wenn er den hörenden Socket umschließt oder im Serverobjekt gespeichert ist), waren nicht betroffen.
• Change: das stringprep-Modul und der encodings.idna-Codec berücksichtigen keine Unicode-Codepoint-Attribute, die über die in RFC 3454 definierten hinausgehen.
• Fix CVE 2026-15806: durch das Eingrenzen der HTTPPasswordMgr-Anmeldeinformationen auf das URL-Schema, wodurch verhindert wird, dass für eine HTTPS-URL gespeicherte Anmeldeinformationen für eine übereinstimmende HTTP-URL verwendet werden, während URIs ohne Schema weiterhin mit jedem Schema übereinstimmen.

Die vollständige Liste der Änderungen ist hierverfügbar