Python Software Foundation News: Mitigated API authentication bypass for python.org download metadata

The Python Software Foundation disclosed and mitigated an API authentication bypass vulnerability in the python.org release management API, reported by Splitline Ng from DEVCORE Research Team on February 23rd, 2026. The flaw, present in the codebase since 2014, allowed an attacker to supply an admin username with an arbitrary API key to gain admin privileges, potentially enabling modification of Python release download URLs and verification material links. No evidence of exploitation was found after auditing logs, database backups, and verifying Sigstore and PGP signatures for all artifacts. The patch was deployed within 48 hours. Additional hardening measures included rejecting non-HTTPS python.org URLs at the database and API level, adding negative authentication test cases, and increasing log retention from 3 to 30 days. A third-party audit by Trail of Bits (funded by OpenAI) was completed before this report's publication, with full results forthcoming.

Nguồn: https://pyfound.blogspot.com/2026/06/mitigated-api-bypass-for-download-metadata-python-dot-org.html. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

Vercel11 phút11 giờ trướcAI

Vercel Flags no longer requires SDK Keys for Vercel deployments

Vercel Flags giờ đây tự động xác thực thông qua OIDC tokens ngắn hạn mà không cần SDK Keys hay biến môi trường FLAGS cho các triển khai trên Vercel. Chỉ cần vercel link và vercel env pull là đủ cho phát triển local, trong khi các dự án cũ vẫn giữ nguyên yêu cầu SDK Keys cho các trường hợp đặc biệt.

Lập trình viên cần đọc bài này để hiểu cách tối ưu hóa quản lý tính năng động (flags) trong dự án Vercel mới nhất, giảm thiểu rủi ro về bảo mật khi sử dụng SDK Keys và khám phá giải pháp tự động hóa cho phát triển và triển khai.