Python para Mac

Seguridad

• Se corrigió la complejidad cuadrática en el análisis incremental de construcciones largas no terminadas (como etiquetas o comentarios) en html.parser.HTMLParser, que podría ser explotada para un ataque de denegación de servicio.
• Los métodos findall(), iterfind() y find() de xml.etree.ElementTree evitan el comportamiento cuadrático al usar predicados de índice XPath ([1], [last()], [last()-N]) en documentos XML con muchos hermanos de la misma etiqueta.
• Actualización de libexpat empaquetada a la versión 2.8.2.
• El método tarfile.TarFile.extract() ahora aplica el filtro dado cuando extrae un objetivo de enlace del archivo como una opción de respaldo.
• En tarfile, buscar en un flujo ahora se detiene cuando se alcanza el final del flujo.
• Modules/Setup.local ya no se utiliza como un hito para descubrir si Python se está ejecutando en un árbol de origen, ya que podría afectar las instalaciones reales. El archivo pybuilddir.txt es ahora el único indicador de que se está ejecutando en un árbol de origen.
• Se corrigió una vulnerabilidad en los filtros de datos y extracción de tarfile donde archivos comprimidos manipulados podrían crear un symlink apuntando fuera del directorio de destino. Esto fue una elusión de CVE 2025-4330.
• http.client ahora limita el número de líneas de tráiler de respuesta en fragmentos que leerá a 100, y el número de respuestas interinas (1xx) que omitirá a 100. Un servidor malicioso o defectuoso podría anteriormente transmitir líneas de tráiler o respuestas 100 Continue indefinidamente, colgando al cliente incluso cuando se usaba un tiempo de espera de socket. Reportado por @YLChen-007 a través de GHSA-w4q2-g22w-6fr4.
• Normaliza todos los finales de línea (CR, CRLF y LF) a LF+TAB al escribir valores de configparser de varias líneas.
• Rechaza caracteres NUL, CR y LF en comandos IMAP. Otros caracteres de control son permitidos y se envían entre comillas.

Lista completa de cambios disponible aquí