It is extremely unlikely that anyone would use this for any kind of privacy invasion. The total number of computers with these extensions installed is so tiny compared to the number of web browsers that no useful information would be able to be gathered. The chances of hitting a user with Python installed is negligible.
After some discussion, it was decided that even if this particular hole was closed, there may be others waiting to appear; the Python rexec module has simply not had enough critical analysis to trust in this environment.
開発者のセキュリティ意識の低さに愕然 (スコア:3, すばらしい洞察)
取り急ぎ訳：
Re:開発者のセキュリティ意識の低さに愕然 (スコア:1)
ちょっと意味不明かも…。みたいなことじゃないですかね。so～that...という構文からして。
でも、ますます、意味不明。根拠レス。何言ってるんでしょうね、この開発者（笑）
HTMLメールを大量に撒き散らして、反応が返ってきたら個別に攻撃、とかできそうですよね。Pythonユーザーのメーリングリ（以下略）
Re:開発者のセキュリティ意識の低さに愕然 (スコア:2, 参考になる)
さらにこんなことも書かれていました。
ファイルを書けなくさえすれば読めてしまっても「safety」なモデルだというのは、サーバーサイドでの利用を想定していたのですかね。クライアントサイドの場合、safetyとprivacyを比べたら、safetyを求める場合の方が制限がきつくなるはず。 という結論にはなっていますが…。 ネットワーク接続機能もちゃんと制限されているのだろうか…Re:開発者のセキュリティ意識の低さに愕然 (スコア:2, 参考になる)
されていないと思います。Javaなどのようなsandboxは持っていませんし。Pythonで「rexecにセキュリティホール発見」という報告はそれほど聞かないのですが、これはrexecのセキュリティが優れているからではなく、そもそもあんまりアテにしてないから、ということだと思ってます。このため、Zope [zope.org] のように出所不明なコードを実行する可能性のあるシステムでは、独自のセキュリティ機構を備えているようです。
こういった環境ですので、rexecモジュールを頼りにしたPythonScriptをIEで実行するのは（おそらく将来に渡って）安全ではありません。開発者のMark Hammondもこの点は認識しており、今後はIEなどのuntrustedな環境ではPythonScriptの実行は禁止（手動で有効にもできる）、とのことです。