CVE-2025-12781

"base64" modulundakı b64decode(), standard_b64decode() və urlsafe_b64decode() funksiyalarına məlumat ötürülərkən, adətən URL təhlükəsiz əlifbası kimi "alternativ base64 əlifbası" təyin etmək üçün istifadə olunan "altchars" parametrinin dəyərindən asılı olmayaraq, "+/" simvolları həmişə qəbul edilir. Bu davranış əvvəlki base64 RFC-lərində tövsiyə olunanla üst-üstə düşür, lakin yeni RFC-lər artıq ya təyin edilmiş base64 əlifbasından kənar simvolların silinməsini, ya da xətanın qaytarılmasını tövsiyə edir. Köhnə davranış məlumatların bütövlüyü ilə bağlı problemlərə səbəb ola bilər. Bu davranış yalnız tətbiqiniz alternativ base64 əlifbasından ("+/" olmadan) istifadə etdikdə təhlükəli ola bilər. Əgər tətbiqiniz "altchars" parametrindən və ya urlsafe_b64decode() funksiyasından istifadə etmirsə, deməli, tətbiqiniz alternativ base64 əlifbasından istifadə etmir. Əlavə edilmiş yamalar base64-dekodlaşdırma davranışının xəta qaytarmasını TƏMİN ETMİR, çünki bu, davranışda dəyişiklik törədərdi və mövcud proqramların işini pozardı. Bunun əvəzinə, yama bu davranışı köhnəlmiş (deprecated) kimi qeyd edir və gələcək Python versiyasında bu davranış yeni tövsiyə olunan davranışla əvəz ediləcəkdir. İstifadəçilərə istifadəçi tərəfindən idarə olunan girişlərin gözlənilən base64 əlifbasına uyğunluğunu yoxlayaraq və ya b64decode() funksiyalarının altchars-dan kənar "+" və ya "/" simvollarını qəbul etməsi halında tətbiqlərinin təsir altında qalmayacağını təsdiqləyərək riskləri azaltmaq tövsiyə olunur.