「Python 3.14.7/3.13.15」リリース ─ 約900件の修正・改善

　Python Software Foundationは8月5日(現地時間)、プログラミング言語「Python 3.14.7/3.13.15」をリリースした。

　「Python」は、オブジェクト指向、命令型、関数型など複数のプログラミングスタイルに対応する汎用プログラミング言語。簡潔で可読性の高い構文や、豊富な標準ライブラリおよび外部パッケージなどを特徴としている。

　「Python 3.14.7」は、Python 3.14.6以降86人のコントリビューターによる約499件のバグ修正、ビルド改善、ドキュメント変更が取り込まれた。また同時に公開された「Python 3.13.15」は、Python 3.13.14以降の約400件のバグ修正、ビルド改善、ドキュメント変更が施されている。
　両リリースのハイライトは次の通り。
〇html.parser.HTMLParserの処理量が二次関数的に増加するDoS問題を修正
〇xml.etree.ElementTreeのXPath処理で発生する二次関数的な処理を回避
〇libexpatを2.8.2へアップデート
〇tarfileでCVE-2025-4330の修正を迂回できる脆弱性を修正
〇tarfileでリンク先を展開する際にも指定されたフィルタを適用
〇http.clientが読み込むチャンクレスポンスのトレーラ行数などを制限
〇IMAPコマンドに含まれるNUL、CR、LF文字を拒否
〇csv.Sniffer.sniff()で発生する指数関数的および二次関数的な処理を修正
〇pickleのC実装でフレーム境界を厳密に検証
〇asyncio、concurrent.futures、logging、sqlite3、tkinterなどの不具合を修正
〇ensurepipに同梱するpipを26.2.1へ更新<
〇macOS 27、Windows、OpenBSD、NetBSD、DragonFly BSDなどに関する問題を修正
など。

　セキュリティ関連では、html.parser.HTMLParserにおいて、閉じられていない長いタグやコメントを断続的に入力した場合、処理量が二次関数的に増加する問題が修正された。この問題はサービス拒否(DoS)攻撃に悪用される危険がある。
　「Python 3.14.7」では、Python 3.14で正式サポートとなったフリースレッドビルドに関する多数の修正も取り込まれた。関数オブジェクトの属性設定、types.GenericAlias、enumerate、BaseException、ガベージコレクタ、io.BytesIO、itertools、asyncioなどで発生するデータ競合、デッドロック、クラッシュが修正されている。

　「Python 3.14.6/3.13.14」は、Webサイトから無償でダウンロード・入手できる。

(川原 龍人/びぎねっと)

[関連リンク]
Python 3.14.7 and 3.13.15 are now available!
Release(3.14.7)
Change Log(3.14.7)
Release(3.13.15)
Change Log(3.13.15)