CVE-2026-19553 in Python
Riassunto
di VulDB • 01/10/2026
ssl.SSLContext.wrap_bio() non richiedeva che l'argomento server_hostname fosse diverso da None se ssl.SSLContext.check_hostname era impostato. A causa di un controllo dei parametri mancante in SSLObject, se l'argomento server_hostname non viene fornito, la verifica dell'hostname verrebbe saltata silenziosamente.
Questo difetto potrebbe portare a programmi in cui la verifica del nome host del certificato *sembrava* avere successo con ssl.SSLContext.check_hostname = True e senza che venisse sollevato un ValueError a causa di una configurazione errata.
Se il programma passa un valore server_hostname che non è una stringa vuota o None a una delle seguenti API, la verifica dell'hostname del certificato procede come previsto e il programma non è interessato da questa vulnerabilità.
Per mitigare questa vulnerabilità non è necessario aggiornare Python né applicare la patch. Per mitigarla, passare un valore valido per server_hostname diverso da None e non vuoto a SSLContext.wrap_bio(), asyncio.create_connection() o asyncio.loop.start_tls(); in questo modo la verifica dell'hostname del certificato procederà come previsto. L'aggiornamento all'ultima versione di Python o l'applicazione della patch modifica il comportamento dal salto silenzioso della verifica dell'hostname al sollevamento di un ValueError, simile a SSLContext.wrap_socket(), quando server_hostname non viene fornito.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.