CVE-2026-42313
WysokieStreszczenie
W pyLoad przed wersją 0.5.0b3.dev100 metoda API set_config_value() nieprawidłowo zarządzała opcjami bezpieczeństwa, co pozwalało uwierzytelnionym użytkownikom z uprawnieniami do ustawień na włączenie proxy i skierowanie ruchu przez kontrolowany przez nich host.
Ocena ryzyka
Organizacja może być narażona na przechwytywanie danych oraz ataki typu man-in-the-middle, co może prowadzić do utraty poufności informacji.
Rekomendacja
Zaleca się aktualizację pyLoad do wersji 0.5.0b3.dev100 lub nowszej, aby usunąć tę podatność oraz przegląd uprawnień użytkowników w systemie.
Inne podatności w pyLoad
Zobacz wszystkie- CVE-2026-42315Wysokie
W pyLoad przed wersją 0.5.0b3.dev100 występuje podatność, która pozwala użytkownikowi z uprawnieniami Perms.MODIFY na określenie dowolnych katalogów jako lokalizacji pobierania pakietu poprzez funkcję API set_package_data(). Brak sanitizacji w kluczu '_folder' umożliwia to działanie.
- CVE-2026-35459Krytyczne
pyLoad w wersji 0.5.0b3.dev96 i wcześniejszych zawiera podatność SSRF. Poprawka dla CVE-2026-33992 dodała walidację IP, ale pycurl automatycznie podąża za przekierowaniami HTTP, a cele przekierowań nie są sprawdzane. Uwierzytelniony użytkownik z uprawnieniami ADD może ominąć filtr SSRF, używając URL przekierowującego do wewnętrznego adresu.
- CVE-2026-75597Średnie
Podatność w pyLoad, menedżerze pobierania, gdzie trasa `/web/<path:filename>` renderuje szablony Jinja2 bez wymaganego uwierzytelnienia. Dodatkowo literówka w obsłudze wyjątków powoduje wyciek wewnętrznych nazw zmiennych Jinja2 w odpowiedziach HTTP 500.
- CVE-2026-48484Średnie
Podatność w pyLoad, menedżerze pobierania, gdzie funkcja API `rpc` odczytuje całą zawartość przesłanego pliku do pamięci bez limitu rozmiaru, co może doprowadzić do wyczerpania pamięci serwera i zakończenia procesu.
- CVE-2026-48987Średnie
W pyLoad przed wersją 0.5.0b3.dev101 klasa EventManager w src/pyload/core/managers/event_manager.py dodaje obiekt Client do listy klientów dla każdego unikalnego UUID przesłanego do uwierzytelnionego endpointu API getEvents, ale get_events nie wywołuje dostępnej metody clean usuwającej nieaktywnych klientów. Uwierzytelniony użytkownik może wielokrotnie przesyłać unikalne wartości UUID, powodując nieograniczony wzrost liczby obiektów klientów i pamięci procesu.
- CVE-2026-48737Średnie
W pyLoad przed wersją 0.5.0b3.dev101 funkcja is_global_address w src/pyload/core/utils/web/check.py opiera się na klasyfikacji adresów globalnych Pythona bez analizy adresów IPv4 osadzonych w adresach IPv6 6to4 lub NAT64. Użytkownik o niskich uprawnieniach może przesłać literał IPv6 przez parse_urls do strażnika is_global_host przed rozwiązywaniem nazw, a curl rozwiązuje nazwy hostów przed zastosowaniem tej samej podatnej kontroli, co pozwala na połączenia do osadzonych adresów loopback, prywatnych, CGNAT lub link-local IPv4.
- CVE-2026-35187Wysokie
W pyLoad 0.5.0b3.dev96 i wcześniejszych funkcja parse_urls w src/pyload/core/api/__init__.py pobiera dowolne URL-e po stronie serwera bez walidacji. Uwierzytelniony użytkownik z uprawnieniem ADD może odczytywać zasoby wewnętrzne, pliki lokalne (file://) oraz korzystać z protokołów gopher:// i dict://.
- CVE-2023-47890Wysokie
pyLoad 0.5.0 zawiera podatność na nieograniczone przesyłanie plików, co pozwala atakującemu na wgranie dowolnych plików na serwer bez odpowiedniej walidacji.
Oryginalny opis (angielski, źródło NVD)
pyLoad is a free and open-source download manager written in Python. Prior to 0.5.0b3.dev100, the set_config_value() API method (@permission(Perms.SETTINGS)) in src/pyload/core/api/__init__.py gates security-sensitive options behind a hand-maintained allowlist ADMIN_ONLY_CORE_OPTIONS. The allowlist contains ("proxy", "username") and ("proxy", "password") — which protect the proxy credentials — but it does not include ("proxy", "enabled"), ("proxy", "host"), ("proxy", "port"), or ("proxy", "type"). Any authenticated user with the non-admin SETTINGS permission can enable proxying and point pyload at any host they control. From that point, every outbound download, captcha fetch, update check, and plugin HTTP call is transparently routed through the attacker. This is a direct continuation of the fix family CVE-2026-33509 / CVE-2026-35463 / CVE-2026-35464 / CVE-2026-35586, each of which patched a different missed option in the same allowlist. This vulnerability is fixed in 0.5.0b3.dev100.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS