CVE-2025-53890
KrytyczneStreszczenie
pyload to menedżer pobierania napisany w czystym Pythonie, który zawiera podatność na niebezpieczną ewaluację JavaScript w kodzie przetwarzania CAPTCHA. Umożliwia to nieautoryzowanym zdalnym atakującym wykonanie dowolnego kodu w przeglądarce klienta oraz potencjalnie na serwerze backendowym.
Ocena ryzyka
Wykorzystanie tej podatności nie wymaga interakcji użytkownika ani uwierzytelnienia, co może prowadzić do przejęcia sesji, kradzieży poświadczeń oraz zdalnego wykonania kodu na całym systemie.
Rekomendacja
Zaleca się aktualizację do wersji 0.5.0b3.dev89, która zawiera poprawkę dla tego problemu.
Oryginalny opis (angielski, źródło NVD)
pyload is an open-source Download Manager written in pure Python. An unsafe JavaScript evaluation vulnerability in pyLoad’s CAPTCHA processing code allows unauthenticated remote attackers to execute arbitrary code in the client browser and potentially the backend server. Exploitation requires no user interaction or authentication and can result in session hijacking, credential theft, and full system remote code execution. Commit 909e5c97885237530d1264cfceb5555870eb9546, the patch for the issue, is included in version 0.5.0b3.dev89.