CVE-2025-12781

"base64" modülündeki b64decode(), standard_b64decode() ve urlsafe_b64decode() fonksiyonlarına veri aktarıldığında, genellikle URL güvenli alfabe gibi bir "alternatif base64 alfabesi" oluşturmak için kullanılan "altchars" parametresinin değerinden bağımsız olarak "+/" karakterleri her zaman kabul edilir. Bu davranış, önceki base64 RFC'lerinde önerilenlerle eşleşmektedir ancak yeni RFC'ler artık ya belirtilen base64 alfabesinin dışındaki karakterlerin atılmasını ya da hata verilmesini önermektedir. Eski davranışın veri bütünlüğü sorunlarına yol açma olasılığı vardır. Bu durum, yalnızca uygulamanız alternatif bir base64 alfabesi ("+/" içermeyen) kullanıyorsa güvensiz olabilir. Uygulamanız "altchars" parametresini veya urlsafe_b64decode() fonksiyonunu kullanmıyorsa, alternatif bir base64 alfabesi kullanmıyor demektir. Ekli yamalar, mevcut programları bozacak bir davranış değişikliği olacağı için base64-decode davranışının hata vermesini SAĞLAMAZ. Bunun yerine yama, gelecekteki bir Python sürümünde yeni önerilen davranışla değiştirilecek olan bu davranışı kullanımdan kaldırır (deprecate). Kullanıcıların, kullanıcı kontrollü girdilerin bekledikleri base64 alfabesiyle eşleştiğini doğrulayarak veya b64decode() fonksiyonlarının altchars dışında "+" veya "/" karakterlerini kabul etmesi durumunda uygulamalarının etkilenmeyeceğini teyit ederek önlem almaları önerilir.