CVE-Katalog

CVE-2026-15806

The HTTPPasswordMgr class in the urllib.request module, along with its subclasses HTTPPasswordMgrWithDefaultRealm and HTTPPasswordMgrWithPriorAuth, did not take the URL scheme into account when matchi

[CVE-Katalog]

Schweregrad
Medium · CVSS 6CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Published
Updated
Source
[NVD] · [CVE record]
EPSS
0.53% · Oct 22, 2026

The HTTPPasswordMgr class in the urllib.request module, along with its subclasses HTTPPasswordMgrWithDefaultRealm and HTTPPasswordMgrWithPriorAuth, did not take the URL scheme into account when matching stored credentials against a requested URL. Credentials added for an https:// URL were also used for requests to the same host over http://, so an attacker able to redirect or downgrade a client to plain HTTP (for example, via an HTTPS-to-HTTP redirect or an on-path position) could capture credentials in cleartext. Credentials added for http:// URLs could likewise be sent over https://. Credential matching is now scoped by URL scheme. Credentials registered with a URL that includes a scheme are only used for requests with the same scheme. Credentials registered with a bare authority (such as example.com or example.com:8080) continue to match any scheme, preserving compatibility with existing code, including proxy authentication. Users who cannot upgrade immediately can mitigate by ensuring that applications never make plain http:// requests to hosts for which credentials are registered, for example by not following redirects to http:// URLs.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianpypy3sid8.0.1+dfsg-1vulnerable
Debianpypy3forky8.0.1+dfsg-1vulnerable
Debianpypy3trixie7.3.19+dfsg-2vulnerable
Debianpypy3bookworm7.3.11+dfsg-2+deb12u3vulnerable
Debianpython3.11bookworm3.11.2-6+deb12u8vulnerable
Debianpython3.11bookworm-security3.11.2-6+deb12u9fixed
Susepython310linux enterprise high performance computing 15 sp4-espos3.10.22-150400.4.129.1fixed
Susepython310-corelinux enterprise high performance computing 15 sp4-espos3.10.22-150400.4.129.1fixed
Susepython310linux enterprise high performance computing 15 sp4-ltss3.10.22-150400.4.129.1fixed
Susepython310-corelinux enterprise high performance computing 15 sp4-ltss3.10.22-150400.4.129.1fixed
Susepython310linux enterprise server 15 sp4-ltss3.10.22-150400.4.129.1fixed
Susepython310-corelinux enterprise server 15 sp4-ltss3.10.22-150400.4.129.1fixed
Susepython310linux enterprise server for sap applications 15 sp43.10.22-150400.4.129.1fixed
Susepython310-corelinux enterprise server for sap applications 15 sp43.10.22-150400.4.129.1fixed
Susepythonlinux enterprise module for package hub 15 sp72.7.18-150000.133.1fixed
Susepython-baselinux enterprise module for package hub 15 sp72.7.18-150000.133.1fixed
Alpinepython33.213.12.15-r0fixed
Alpinepython33.223.12.15-r0fixed
Alpinepython33.233.12.15-r0fixed
Alpinepython33.243.14.8-r0fixed
Susepython311linux micro 6.03.11.16-1.1fixed
Susepython311-corelinux micro 6.03.11.16-1.1fixed
Fedorapython3.14430:3.14.8-1.fc43fixed
Fedorapython3-docs430:3.14.8-1.fc43fixed
Fedorapython3.14440:3.14.8-1.fc44fixed
Fedorapython3-docs440:3.14.8-1.fc44fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianpypy3sourcesid(unfixed)not yet assignedNot reported[1147448]
Debianpypy3sourceforky(unfixed)not yet assignedNot reported[1147448]
Debianpypy3sourcetrixie(unfixed)not yet assignedNot reported[1147448]
Debianpypy3sourcebookworm(unfixed)not yet assignedNot reported[1147448]
Debianpython3.11sourcebookworm3.11.2-6+deb12u9not yet assignedNot reportedNot reported
Susepython310rpmlinux enterprise high performance computing 15 sp4-espos3.10.22-150400.4.129.1Not reportedSUSE-SU-2026:4630-1Not reported
Susepython310-corerpmlinux enterprise high performance computing 15 sp4-espos3.10.22-150400.4.129.1Not reportedSUSE-SU-2026:4630-1Not reported
Susepython310rpmlinux enterprise high performance computing 15 sp4-ltss3.10.22-150400.4.129.1Not reportedSUSE-SU-2026:4630-1Not reported
Susepython310-corerpmlinux enterprise high performance computing 15 sp4-ltss3.10.22-150400.4.129.1Not reportedSUSE-SU-2026:4630-1Not reported
Susepython310rpmlinux enterprise server 15 sp4-ltss3.10.22-150400.4.129.1Not reportedSUSE-SU-2026:4630-1Not reported
Susepython310-corerpmlinux enterprise server 15 sp4-ltss3.10.22-150400.4.129.1Not reportedSUSE-SU-2026:4630-1Not reported
Susepython310rpmlinux enterprise server for sap applications 15 sp43.10.22-150400.4.129.1Not reportedSUSE-SU-2026:4630-1Not reported
Susepython310-corerpmlinux enterprise server for sap applications 15 sp43.10.22-150400.4.129.1Not reportedSUSE-SU-2026:4630-1Not reported
Susepythonrpmlinux enterprise module for package hub 15 sp72.7.18-150000.133.1Not reportedSUSE-SU-2026:4411-1Not reported
Susepython-baserpmlinux enterprise module for package hub 15 sp72.7.18-150000.133.1Not reportedSUSE-SU-2026:4411-1Not reported
Alpinepython3apk3.213.12.15-r0Not reportedALPINE-CVE-2026-15806Not reported
Alpinepython3apk3.223.12.15-r0Not reportedALPINE-CVE-2026-15806Not reported
Alpinepython3apk3.233.12.15-r0Not reportedALPINE-CVE-2026-15806Not reported
Alpinepython3apk3.243.14.8-r0Not reportedALPINE-CVE-2026-15806Not reported
Susepython311rpmlinux micro 6.03.11.16-1.1Not reportedSUSE-SU-2026:23845-1Not reported
Susepython311-corerpmlinux micro 6.03.11.16-1.1Not reportedSUSE-SU-2026:23845-1Not reported
Fedorapython3.14rpm430:3.14.8-1.fc43Not reportedFEDORA-2026-A3DA6BB5CD#CVE-2026-15806Not reported
Fedorapython3-docsrpm430:3.14.8-1.fc43Not reportedFEDORA-2026-A3DA6BB5CD#CVE-2026-15806Not reported
Fedorapython3.14rpm440:3.14.8-1.fc44Not reportedFEDORA-2026-6261B26F4E#CVE-2026-15806Not reported
Fedorapython3-docsrpm440:3.14.8-1.fc44Not reportedFEDORA-2026-6261B26F4E#CVE-2026-15806Not reported

[Debian bug #1147448]

Notes

[trixie] pypy3: Minor issue [bookworm] pypy3: Minor issue

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [idle-python3.11]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · all · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · all · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · all · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · all · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [libpython3.11]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · amd64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · arm64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · amd64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · arm64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [libpython3.11-dbg]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · amd64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · arm64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · amd64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · arm64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [libpython3.11-dev]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · amd64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · arm64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · amd64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · arm64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [libpython3.11-minimal]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · amd64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · arm64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · amd64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · arm64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [libpython3.11-stdlib]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · amd64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · arm64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · amd64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · arm64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [libpython3.11-testsuite]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · all · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · all · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · all · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · all · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [pypy3]Betroffen
    Details (2)

    • 7.3.11+dfsg-2+deb12u3 · amd64 · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

    • 7.3.11+dfsg-2+deb12u3 · arm64 · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

  • [pypy3-dev]Betroffen

    Quellpaket: [pypy3]

    Details (2)

    • 7.3.11+dfsg-2+deb12u3 · all · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

    • 7.3.11+dfsg-2+deb12u3 · all · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

  • [pypy3-doc]Betroffen

    Quellpaket: [pypy3]

    Details (2)

    • 7.3.11+dfsg-2+deb12u3 · all · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

    • 7.3.11+dfsg-2+deb12u3 · all · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

  • [pypy3-lib]Betroffen

    Quellpaket: [pypy3]

    Details (2)

    • 7.3.11+dfsg-2+deb12u3 · amd64 · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

    • 7.3.11+dfsg-2+deb12u3 · arm64 · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

  • [pypy3-lib-testsuite]Betroffen

    Quellpaket: [pypy3]

    Details (2)

    • 7.3.11+dfsg-2+deb12u3 · all · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

    • 7.3.11+dfsg-2+deb12u3 · all · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

  • [pypy3-tk]Betroffen

    Quellpaket: [pypy3]

    Details (2)

    • 7.3.11+dfsg-2+deb12u3 · amd64 · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

    • 7.3.11+dfsg-2+deb12u3 · arm64 · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

  • [pypy3-venv]Betroffen

    Quellpaket: [pypy3]

    Details (2)

    • 7.3.11+dfsg-2+deb12u3 · all · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

    • 7.3.11+dfsg-2+deb12u3 · all · bookworm

      Betroffen

      nvd · pypy3 · debian · bookworm; nvd · pypy3 · debian · 12

  • [python3.11]Betroffen
    Details (4)

    • 3.11.2-6+deb12u8 · amd64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · arm64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · amd64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · arm64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [python3.11-dbg]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · amd64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · arm64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · amd64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · arm64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [python3.11-dev]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · amd64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · arm64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · amd64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · arm64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [python3.11-doc]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · all · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · all · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · all · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · all · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [python3.11-examples]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · all · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · all · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · all · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · all · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

  • [python3.11-full]Betroffen

    Quellpaket: [python3.11]

    Details (4)

    • 3.11.2-6+deb12u8 · amd64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u8 · arm64 · bookworm

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · amd64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

    • 3.11.2-6+deb12u3 · arm64 · bookworm-security

      Betroffen · Behoben: 3.11.2-6+deb12u9

      nvd · python3.11 · debian · bookworm; nvd · python3.11 · debian · 12

Weitere Ergebnisse

Beobachtet:

Referenzen

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [Fedora security updates (Bodhi)] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX]