CVE-2026-42313
WysokieStreszczenie
W pyLoad przed wersją 0.5.0b3.dev100 metoda API set_config_value() nieprawidłowo zarządzała opcjami bezpieczeństwa, co pozwalało uwierzytelnionym użytkownikom z uprawnieniami do ustawień na włączenie proxy i skierowanie ruchu przez kontrolowany przez nich host.
Ocena ryzyka
Organizacja może być narażona na przechwytywanie danych oraz ataki typu man-in-the-middle, co może prowadzić do utraty poufności informacji.
Rekomendacja
Zaleca się aktualizację pyLoad do wersji 0.5.0b3.dev100 lub nowszej, aby usunąć tę podatność oraz przegląd uprawnień użytkowników w systemie.
Inne podatności w pyLoad
Zobacz wszystkie- CVE-2026-42315Wysokie
W pyLoad przed wersją 0.5.0b3.dev100 występuje podatność, która pozwala użytkownikowi z uprawnieniami Perms.MODIFY na określenie dowolnych katalogów jako lokalizacji pobierania pakietu poprzez funkcję API set_package_data(). Brak sanitizacji w kluczu '_folder' umożliwia to działanie.
- CVE-2026-35459Krytyczne
pyLoad w wersji 0.5.0b3.dev96 i wcześniejszych zawiera podatność SSRF. Poprawka dla CVE-2026-33992 dodała walidację IP, ale pycurl automatycznie podąża za przekierowaniami HTTP, a cele przekierowań nie są sprawdzane. Uwierzytelniony użytkownik z uprawnieniami ADD może ominąć filtr SSRF, używając URL przekierowującego do wewnętrznego adresu.
- CVE-2026-35187Wysokie
W pyLoad 0.5.0b3.dev96 i wcześniejszych funkcja parse_urls w src/pyload/core/api/__init__.py pobiera dowolne URL-e po stronie serwera bez walidacji. Uwierzytelniony użytkownik z uprawnieniem ADD może odczytywać zasoby wewnętrzne, pliki lokalne (file://) oraz korzystać z protokołów gopher:// i dict://.
- CVE-2023-47890Wysokie
pyLoad 0.5.0 zawiera podatność na nieograniczone przesyłanie plików, co pozwala atakującemu na wgranie dowolnych plików na serwer bez odpowiedniej walidacji.
Oryginalny opis (angielski, źródło NVD)
pyLoad is a free and open-source download manager written in Python. Prior to 0.5.0b3.dev100, the set_config_value() API method (@permission(Perms.SETTINGS)) in src/pyload/core/api/__init__.py gates security-sensitive options behind a hand-maintained allowlist ADMIN_ONLY_CORE_OPTIONS. The allowlist contains ("proxy", "username") and ("proxy", "password") — which protect the proxy credentials — but it does not include ("proxy", "enabled"), ("proxy", "host"), ("proxy", "port"), or ("proxy", "type"). Any authenticated user with the non-admin SETTINGS permission can enable proxying and point pyload at any host they control. From that point, every outbound download, captcha fetch, update check, and plugin HTTP call is transparently routed through the attacker. This is a direct continuation of the fix family CVE-2026-33509 / CVE-2026-35463 / CVE-2026-35464 / CVE-2026-35586, each of which patched a different missed option in the same allowlist. This vulnerability is fixed in 0.5.0b3.dev100.