CVE-2026-15806

urllib.request modülündeki HTTPPasswordMgr sınıfı ve alt sınıfları olan HTTPPasswordMgrWithDefaultRealm ile HTTPPasswordMgrWithPriorAuth, kayıtlı kimlik bilgilerini istenen bir URL ile eşleştirirken URL şemasını dikkate almıyordu. https:// URL'si için eklenen kimlik bilgileri, aynı ana bilgisayara yapılan http:// istekleri için de kullanılıyordu; bu nedenle, bir istemciyi düz metin HTTP'ye yönlendirebilen veya sürümünü düşürebilen bir saldırgan (örneğin, HTTPS-to-HTTP yönlendirmesi veya ağ yolu üzerinde konumlanarak), kimlik bilgilerini açık metin olarak ele geçirebilirdi. Benzer şekilde, http:// URL'leri için eklenen kimlik bilgileri https:// üzerinden de gönderilebiliyordu. Kimlik bilgisi eşleştirme artık URL şemasıyla sınırlandırılmıştır. Şema içeren bir URL ile kaydedilen kimlik bilgileri yalnızca aynı şemaya sahip istekler için kullanılır. Yalın yetki alanı (example.com veya example.com:8080 gibi) ile kaydedilen kimlik bilgileri, proxy kimlik doğrulaması da dahil olmak üzere mevcut kodlarla uyumluluğu korumak amacıyla herhangi bir şema ile eşleşmeye devam eder. Hemen yükseltme yapamayan kullanıcılar, örneğin http:// URL'lerine yapılan yönlendirmeleri takip etmeyerek, uygulamaların kimlik bilgilerinin kayıtlı olduğu ana bilgisayarlara hiçbir zaman düz metin http:// istekleri göndermemesini sağlayarak durumu hafifletebilirler.