CVE-2026-12003

Python derlemelerinin (yüklü bir dosya düzeni yerine) ağaç içi (in-tree) bir düzenden çalıştırılmasına izin vermek için, derleme sırasında VPATH değişkeni tanımlanır ve belirli işaretçileri -özellikle Modules/setup.local- bulmak için kullanılır. Bu işaretçi yürütülebilir dosyaya göre VPATH üzerinden bulunduğunda, Python bir kaynak ağacında çalıştığını varsayar ve farklı bir varsayılan sys.path oluşturur. Yayınlanmaya hazır derlemelerin ağaç içinde oluşturulabilmesi için bu kod, yayın sürümlerinde de kalır. Windows'ta, derlemeler 'PCbuild/' dizinine yazıldığından, VPATH değeri '..\..' olarak ayarlanır; bu da '..\..\Modules\setup.local' şeklinde bir işaretçiye yol açar. Bu yol, Python kurulum dizininin dışındadır ve farklı izinlere sahip olabilir; bu durum, düşük yetkili bir kullanıcının işaretçiyi ve aksi takdirde kısıtlanmış bir kurulum tarafından keşfedilecek alternatif bir `Lib` klasörü oluşturmasına potansiyel olarak izin verir. Böyle bir kurulum, Windows'un tüm kullanıcıların işletim sistemi sürücüsünün kök dizininde klasörler oluşturmasına izin verme şekli nedeniyle, tüm kullanıcılar için eski varsayılan kurulum konumunda (artık yerini alan EXE yükleyicisinde) meydana gelir. Windows üzerindeki önerilen hafifletme yöntemimiz, eski yükleyiciden uzaklaşmak ve mevcut kullanıcı için kurulum yapmak üzere yeni [Python install manager](https://www.python.org/downloads/latest/pymanager/) aracını kullanmaktır. Python kurulum dizininin iki seviye üstündeki dizinin eşdeğer izinlere sahip olduğu kurulumlar etkilenmez (genel olarak, kullanıcı başına yapılan bir kurulum diğer kullanıcılar tarafından hiç değiştirilemez, bu da herhangi bir yetki yükseltme riskini ortadan kaldırır ve ayrıcalıklı bir kullanıcı tarafından doğrudan değiştirilebilir, bu da potansiyel kurcalamayı önemsiz kılar). Alternatif hafifletmeler, önleyici olarak bir `Modules` dizini oluşturmayı ve erişimi kısıtlamayı içerebilir. Yalnızca 3.13 ve 3.14 sürümlerinin güncellenmiş eski yükleyiciler alacağını unutmayın; daha önceki düzeltmeler yalnızca kaynak kod olarak sağlanmıştır. Windows dışındaki platformlar VPATH'in geçersiz kılınmasına izin verir, ancak ikililer için derlemede genellikle ayrı bir dizin kullanmadıkları için, kurulum dizininin dışında bir işaretçi referansı olma olasılığı düşüktür. VPATH'i içeren işaretçi algılaması, daha spesifik bir işaretçi olan .\pybuilddir.txt eksik olduğunda kullanılan bir yedek mekanizmadır ve uyumluluk için eklenmiştir. Python'un gelecekteki sürümleri artık bu yedeği içermeyecektir ve bu nedenle derlemelerin ağaç içinde çalışabilmesi için pybuilddir.txt dosyasını oluşturması veya koruması gerekecektir. Bu işaretçi dosyası Windows'ta 3.11 sürümünden beri, diğer platformlarda ise daha uzun süredir oluşturulmaktadır.