"base64"モジュールのb64decode()、standard_b64decode()、および urlsafe_b64decode() 関数にデータを渡す際、"altchars" パラメータの値に関係なく文字「+/」は常に受け入れられます。これは通常、URLセーフアルファベットなどの「代替の base64 アルファベット」を確立するために使用されます。この動作は以前の base64 RFC で推奨されていた内容に一致していますが、新しい RFC では指定された base64 アルファベット外の文字を除外するか、エラーを発生させることを推奨しています。この古い動作はデータの整合性問題を引き起こす可能性があります。この動作が問題となるのは、アプリケーションが「+/」を含まない代替の base64 アルファベットを使用している場合のみです。アプリケーションが "altchars" パラメータや urlsafe_b64decode() 関数を使用していない場合は、代替の base64 アルファベットを使用していないことになります。添付されたパッチは base64 デコードの動作をエラーを発生させるように変更しません。これは既存のプログラムの挙動を壊さないためです。代わりに、この動作を非推奨として将来の Python のバージョンで新しい推奨される動作に置き換えます。ユーザーには、ユーザー制御の入力が期待する base64 アルファベットに一致するか、b64decode() 関数が altchars 以外の "+" または "/" を受け入れても影響がないことを検証して対策することを推奨します。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。