JVNDB-2026-002568

Python Software FoundationのPythonにおける不正な型変換に関する脆弱性

"base64"モジュールのb64decode()、standard_b64decode()、および urlsafe_b64decode() 関数にデータを渡す際、"altchars" パラメータの値に関係なく文字「+/」は常に受け入れられます。これは通常、URLセーフアルファベットなどの「代替の base64 アルファベット」を確立するために使用されます。この動作は以前の base64 RFC で推奨されていた内容に一致していますが、新しい RFC では指定された base64 アルファベット外の文字を除外するか、エラーを発生させることを推奨しています。この古い動作はデータの整合性問題を引き起こす可能性があります。この動作が問題となるのは、アプリケーションが「+/」を含まない代替の base64 アルファベットを使用している場合のみです。アプリケーションが "altchars" パラメータや urlsafe_b64decode() 関数を使用していない場合は、代替の base64 アルファベットを使用していないことになります。添付されたパッチは base64 デコードの動作をエラーを発生させるように変更しません。これは既存のプログラムの挙動を壊さないためです。代わりに、この動作を非推奨として将来の Python のバージョンで新しい推奨される動作に置き換えます。ユーザーには、ユーザー制御の入力が期待する base64 アルファベットに一致するか、b64decode() 関数が altchars 以外の "+" または "/" を受け入れても影響がないことを検証して対策することを推奨します。

Python Software Foundation

• Python 3.13.10 未満
• Python 3.14.0 以上 3.14.1 未満
• Python 3.15.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Python Software Foundation

• Mailing Lists : Mailman 3 [CVE-2025-12781] base64.b64decode() always accepts "+/" characters, despite setting altchars - Security-announce - python.org

1. 不正な型変換またはキャスト(CWE-704) [その他]

1. CVE-2025-12781

1. National Vulnerability Database (NVD) : CVE-2025-12781
2. 関連文書 : [3.13] gh-125346: Add more base64 tests (GH-141061) (GH-141130) (GH-1…  python/cpython@1be80be  GitHub
3. 関連文書 : [3.14] gh-125346: Add more base64 tests (GH-141061) (GH-141130)  python/cpython@fd17ee0  GitHub
4. 関連文書 : gh-125346: Deprecate accepting standard Base64 alphabet when alternat…  python/cpython@9060b4a  GitHub
5. 関連文書 : Remove duplicated tests in test_base64 (gh-125346) (GH-141153)  python/cpython@e95e783  GitHub
6. 関連文書 : gh-125346: Add more base64 tests (GH-141061)  python/cpython@13360ef  GitHub
7. 関連文書 : Base64 decode with altchars still accepts non-altchars  Issue #125346  python/cpython
8. 関連文書 : gh-125346: Fix decoding with non-standard Base64 alphabet by serhiy-storchaka  Pull Request #141128  python/cpython  GitHub

• [2026年02月04日]
    掲載