CVE-2026-42312
Təsvir
pyLoad, Python dilində yazılmış pulsuz və açıq mənbəli yükləmə meneceridir. 0.5.0b3.dev100 versiyasından əvvəl, src/pyload/core/api/__init__.py faylındakı set_config_value() API metodu (@permission(Perms.SETTINGS)), təhlükəsizlik baxımından həssas seçimləri əllə idarə olunan ADMIN_ONLY_CORE_OPTIONS ağ siyahısı vasitəsilə məhdudlaşdırır. ("general", "ssl_verify") seçimi həmin ağ siyahıda yer almır. SETTINGS icazəsinə malik olan hər hansı autentifikasiya olunmuş qeyri-administrator istifadəçi general.ssl_verify = off parametrini təyin edə bilər və bundan sonrakı bütün çıxan pycurl sorğuları SSL_VERIFYPEER=0 və SSL_VERIFYHOST=0 ilə icra edilir — TLS peer və host adı yoxlamaları tamamilə söndürülür. Yol üzərindəki hücumçu (on-path attacker), pyload tərəfindən yüklənən hər hansı host adı üçün saxta sertifikatlar təqdim edə bilər. Bu, eyni ağ siyahıda nəzərdən qaçan müxtəlif seçimlərin düzəldildiyi CVE-2026-33509 / CVE-2026-35463 / CVE-2026-35464 / CVE-2026-35586 düzəlişlər ailəsinin birbaşa davamıdır. Bu zəiflik 0.5.0b3.dev100 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- pyload-ng_project pyload-ng0.5.0b3.dev100 və ya daha yeni versiya
- pyload-ng0.5.0b3.dev100 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pyload-ng_project pyload-ng | v < 0.5.0b3.dev100 | 0.5.0b3.dev100 |
| pyload-ngPyPI | v < 0.5.0b3.dev100 | 0.5.0b3.dev100 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.