CVE-2026-35464
Təsvir
pyLoad Python dilində yazılmış pulsuz və açıq mənbəli yükləmə meneceridir. CVE-2026-33509 üçün tətbiq edilən düzəliş, admin olmayan istifadəçilərin təhlükəsizlik baxımından kritik konfiqurasiya seçimlərini dəyişməsini bloklamaq üçün ADMIN_ONLY_OPTIONS çoxluğunu əlavə etdi. storage_folder seçimi bu çoxluğa daxil deyil və Flask sessiya kataloqu həm PKGDIR, həm də userdir-dən kənarda olduğu üçün mövcud yol məhdudiyyətindən keçir. SETTINGS və ADD icazələri olan bir istifadəçi yükləmələri Flask fayl sistemi sessiya anbarına yönləndirə, proqnozlaşdırıla bilən sessiya faylı kimi zərərli pickle yükü yerləşdirə və müvafiq sessiya kukisi ilə hər hansı HTTP sorğusu gəldikdə ixtiyari kodun icrasını tetikleyə bilər. Bu boşluq c4cf995a2803bdbe388addfc2b0f323277efc0e1 commit-i ilə aradan qaldırılıb.
Necə düzəltmək olar
- pyload pyload2026-04-02 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pyload pyload | v < 2026-04-02 | 2026-04-02 |
| pyload-ngPyPI | v ≤ 0.5.0b3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.