CVE-2025-0938

描述

The Python standard library functions `urllib.parse.urlsplit` and `urlparse` accepted domain names that included square brackets which isn't valid according to RFC 3986. Square brackets are only meant to be used as delimiters for specifying IPv6 and IPvFuture hosts in URLs. This could result in differential parsing across the Python URL parser and other specification-compliant URL parsers.

如何修補 CVE-2025-0938

要修補 CVE-2025-0938,請將受影響套件升級到下列已修補版本。

• Alpine/python3—升級至 3.11.12-r0 或更新版本
• —升級至 3.9.22 或更新版本
• —升級至 3.9.22 或更新版本
• —升級至 3.9.22 或更新版本
• —升級至 7.3.5+dfsg-2+deb11u5 或更新版本
• —升級至 3.11.2-6+deb12u6 或更新版本
• —升級至 3.13.2-1 或更新版本
• —升級至 3.9.2-1+deb11u3 或更新版本

CVE-2025-0938 正在被利用嗎?

低 — EPSS 為 1.5%,目前沒有觀察到大規模利用活動。

受影響套件(8)

• from 0, < 3.11.12-r0
• from 0, < 3.9.22, >= 3.10.0, < 3.10.17, >= 3.11.0, < 3.11.12, >= 3.12.0, < 3.12.9, >= 3.13.0, < 3.13.2
• from 0, < 3.9.22, >= 3.10.0, < 3.10.17, >= 3.11.0, < 3.11.12, >= 3.12.0, < 3.12.9, >= 3.13.0, < 3.13.2
• from 0, < 3.9.22, >= 3.10.0, < 3.10.17, >= 3.11.0, < 3.11.12, >= 3.12.0, < 3.12.9, >= 3.13.0, < 3.13.2
• from 0, < 7.3.5+dfsg-2+deb11u5
• from 0, < 3.11.2-6+deb12u6
• from 0, < 3.13.2-1
• from 0, < 3.9.2-1+deb11u3

CVSS 分數

參考連結(14)

• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2025-0938
• ADVISORYsecurity.alpinelinux.org/vuln/CVE-2025-0938
• WEBgithub.com/python/cpython/commit/526617ed68cde460236c973e5d0a8bad4de896ba
• WEBgithub.com/python/cpython/commit/90e526ae67b172ed7c6c56e7edad36263b0f9403