JVNDB-2026-029069

Python Software FoundationのPythonにおけるインジェクションに関する脆弱性

"configparser"モジュールを使用して、復帰文字（\r）を含む複数行のテキスト値を持つ設定ファイルを書き込む場合に、攻撃者が書き込まれる値を制御していると、生成されたファイルに予期しないキーや値が注入される可能性があります。

Python Software Foundation

• Python 3.10.21 未満
• Python 3.11.0 以上 3.11.16 未満
• Python 3.12.0 以上 3.12.14 未満
• Python 3.13.0 以上 3.13.15 未満
• Python 3.14.0 以上 3.14.7 未満
• Python 3.15.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Python Software Foundation

• Mailing Lists : Mailman 3 [CVE-2026-0864] Configparser newline injection in write() method - Security-announce - python.org

1. インジェクション(CWE-74) [その他]

1. CVE-2026-0864

1. National Vulnerability Database (NVD) : CVE-2026-0864
2. 関連文書 : gh-151558: Fix symlink escape via `tarfile` hardlink-extraction fallback by StanFromIreland  Pull Request #151559  python/cpython  GitHub
3. 関連文書 : Normalize all line ending (CR, CRLF, and LF) to LF+TAB in configparser  Issue #143927  python/cpython
4. 関連文書 : [3.10] gh-143927: Normalize all line endings (CR, CRLF, and LF) in co…  python/cpython@12dcbd7  GitHub
5. 関連文書 : [3.14] gh-143927: Normalize all line endings (CR, CRLF, and LF) in co…  python/cpython@71f2e02  GitHub
6. 関連文書 : [3.11] gh-143927: Normalize all line endings (CR, CRLF, and LF) in co…  python/cpython@274de10  GitHub
7. 関連文書 : gh-143927: Normalize all line endings (CR, CRLF, and LF) in configpar…  python/cpython@5858e42  GitHub
8. 関連文書 : [3.15] gh-143927: Normalize all line endings (CR, CRLF, and LF) in co…  python/cpython@0adb386  GitHub
9. 関連文書 : [3.13] gh-143927: Normalize all line endings (CR, CRLF, and LF) in co…  python/cpython@aaf850f  GitHub
10. 関連文書 : [3.12] gh-143927: Normalize all line endings (CR, CRLF, and LF) in co…  python/cpython@db4a157  GitHub

• [2026年08月20日]
    掲載