[安全问题]: CVE-2025-0938 CVE-2025-1795 · Pull Request !82 · OpenHarmony/third_party_python

漏洞描述：
1. CVE-2025-0938 [3.11] gh-100884: email/_header_value_parser: don't encode list separa…
Python标准库函数urllib.parse.urlsplit和urlparse接受了包含方括号的域名，但根据RFC 3986，这并不有效。方括号仅用于作为URL中指定IPv6和IPvFuture主机的分隔符。这可能导致Python URL解析器和其他符合规范的URL解析器之间的差异解析。
2. CVE-2025-1795 [3.11] gh-105704: Disallow square brackets ([ and ]) in domain nam…
在地址列表折叠时，当分隔逗号落在折叠行上，并且该行需进行Unicode编码时，分隔符本身也会被Unicode编码，预期的行为是分隔逗号保持为普通逗号。这可能导致某些邮件服务器误解地址头部。

issue：https://gitee.com/openharmony/third_party_python/issues/ICIVS3
patch：1. https://github.com/python/cpython/pull/129528
       2. https://github.com/python/cpython/pull/115593

1. [3.11] gh-100884: email/_header_value_parser: don't encode list separa…
2. [3.11] gh-105704: Disallow square brackets (<code>\[</code> and <code>\]</code>) in domain nam…
---
### 一、内容说明（相关的Issue）

https://gitee.com/openharmony/third_party_python/issues/ICIVS3

### 二、建议测试周期和提测地址  
  建议测试完成时间：xxxx.xx.xx  
  投产上线时间：xxxx.xx.xx  
  提测地址：CI环境/压测环境  
  测试账号：

### 三、变更内容
  * 3.1 关联PR列表

* 3.2 数据库和部署说明  
    1. 常规更新 
    2. 重启unicorn
    3. 重启sidekiq
    4. 迁移任务：是否有迁移任务，没有写 "无"
    5. rake脚本：`bundle exec xxx RAILS_ENV = production`；没有写 "无"

* 3.4 其他技术优化内容（做了什么，变更了什么）
    - 重构了 xxxx 代码
    - xxxx 算法优化

* 3.5 废弃通知（什么字段、方法弃用？）

* 3.6  后向不兼容变更（是否有无法向后兼容的变更？）

### 四、研发自测点（自测哪些？冒烟用例全部自测？）
  自测测试结论：

### 五、测试关注点（需要提醒QA重点关注的、可能会忽略的地方）
  检查点：

| 需求名称 | 是否影响xx公共模块 | 是否需要xx功能 | 需求升级是否依赖其他子产品 |
|------|------------|----------|---------------|
| xxx  | 否          | 需要       | 不需要           |
|      |            |          |               |

接口测试：

性能测试：

并发测试：

其他：

### L0新增用例自检结果
- [ ] 是，有新增L0用例，且完成自检
- [ ] 否

类型	指派人员	状态
审查	RingKing 已审查通过 handy chenmudan liwentao	已完成 (1/1人)
测试	openharmony_ci 已测试通过	已完成 (1/1人)

OpenHarmony/third_party_python关闭 .gitee-modal { width: 500px !important; }

搜索帮助

OpenHarmony/third_party_python
关闭