CVE-2026-42313

Yüksək

Təsvir

pyLoad, Python dilində yazılmış pulsuz və açıq mənbəli yükləmə meneceridir. 0.5.0b3.dev100 versiyasından əvvəl, src/pyload/core/api/__init__.py faylındakı set_config_value() API metodu (@permission(Perms.SETTINGS)), təhlükəsizlik baxımından həssas seçimləri əllə idarə olunan ADMIN_ONLY_CORE_OPTIONS ağ siyahısı vasitəsilə məhdudlaşdırır. Ağ siyahısına proksi etibarlılıq məlumatlarını qoruyan ("proxy", "username") və ("proxy", "password") daxildir, lakin ("proxy", "enabled"), ("proxy", "host"), ("proxy", "port") və ya ("proxy", "type") bura daxil edilməyib. Admin olmayan, lakin SETTINGS icazəsinə malik hər hansı autentifikasiya olunmuş istifadəçi proksini aktivləşdirə və pyload-u özünün nəzarət etdiyi istənilən hosta yönləndirə bilər. Bu nöqtədən etibarən bütün çıxan yükləmələr, captcha sorğuları, yeniləmə yoxlamaları və plagin HTTP çağırışları şəffaf şəkildə hücumçunun üzərindən marşrutlaşdırılır. Bu, eyni ağ siyahısında fərqli ötürülmüş seçimlərin düzəldildiyi CVE-2026-33509 / CVE-2026-35463 / CVE-2026-35464 / CVE-2026-35586 düzəliş ailəsinin birbaşa davamıdır. Bu zəiflik 0.5.0b3.dev100 versiyasında aradan qaldırılıb.

CiddilikYüksək

CVSS8.3

İstismar ehtimalı—

MəhsulPyload-ng

Dərc11 may 2026

İlk görülmə11 may 2026

Zəiflik növüCWE-441CWE-441 CWE-863Yanlış avtorizasiya CWE-918Server tərəfli sorğu saxtakarlığı (SSRF)

Necə düzəltmək olar

Yeniləyin

pyload-ng_project pyload-ng0.5.0b3.dev100 və ya daha yeni versiya
pyload-ng0.5.0b3.dev100 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
pyload-ng_project pyload-ng	v < 0.5.0b3.dev100	0.5.0b3.dev100
pyload-ngPyPI	v < 0.5.0b3.dev100	0.5.0b3.dev100

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.