Python para Mac

• Corrección: un fallo o salida incorrecta que podría ocurrir al formatear un número de punto flotante o complejo con una precisión cercana al INT_MAX de la plataforma. PyOS_double_to_string() ahora genera ValueError para cualquier precisión de esa magnitud, independientemente del tipo de presentación o valor, como ya lo hacían los analizadores de cadenas de formato para precisiones superiores a INT_MAX.
• asyncio: loop.start_tls() y loop.create_connection() ahora validan el argumento server_hostname si se pasa un ssl.SSLContext con check_hostname establecido en True.
• ssl.SSLContext.wrap_bio() ahora valida sus argumentos server_side, server_hostname y session de manera similar a ssl.SSLContext.wrap_socket(). En particular, un contexto con check_hostname habilitado y sin server_hostname pasado a wrap_bio() ahora genera ValueError en lugar de completar un apretón de manos que verificó la cadena de certificados sin verificar la identidad del par, sin ninguna indicación de que la verificación se había omitido.
• Actualización: se incluyó libexpat en la versión 2.8.5.
• Límite: la cantidad de datos que zipfile descomprime por lectura para miembros comprimidos con bzip2, LZMA o Zstandard, coincidiendo con el límite existente para deflate. Un miembro de archivo pequeño podría expandirse previamente en una asignación ilimitada incluso cuando se lee en pequeños fragmentos.
• Corrección: los filtros de extracción de tarfile tar y datos crean directorios fuera del destino para miembros cuyo nombre sale del destino y regresa a él, como ..\/evil\/..\/dest\/sub\/file. La verificación de contención utilizó la ruta resuelta, pero se crearon directorios intermedios a partir del nombre tal como se dio.
• Corrección: un fallo en ssl cuando un sni_callback cambia una conexión a otro SSLContext y el contexto que lleva el callback ya no es referenciado por la aplicación. Los servidores que mantienen su contexto sni_callback activo (el caso habitual cuando envuelve el socket de escucha o se almacena en el objeto del servidor) no se vieron afectados.
• Cambio: el módulo stringprep y el códec encodings.idna no consideran atributos de punto de código Unicode más allá de los definidos en el RFC 3454.
• Corrección CVE 2026-15806: al limitar las credenciales de HTTPPasswordMgr al esquema de URL, evitando que las credenciales almacenadas para una URL HTTPS se utilicen para una URL HTTP coincidente, mientras que las URI sin esquema continúan coincidiendo con cualquier esquema.

Lista completa de cambios disponible aquí