CVE-2026-48737

pyLoad, Python dilində yazılmış pulsuz və açıq mənbəli yükləmə meneceridir. 0.5.0b3.dev101 versiyasından əvvəl src/pyload/core/utils/web/check.py faylındakı is_global_address funksiyası, 6to4 və ya NAT64 IPv6 ünvanlarına daxil edilmiş IPv4 təyinatlarını yoxlamadan Python-un global-address təsnifatına əsaslanır. Aşağı imtiyazlı istifadəçi parse_urls vasitəsilə pre-resolution is_global_host mühafizəsinə IPv6 literalını göndərə bilər. host_to_ip AF_INET ilə məhdudlaşdırıldığı üçün həmin mühafizə host adının AAAA nəticəsini qiymətləndirmir. Bununla yanaşı, src/pyload/core/network/http/http_request.py faylındakı pycurl PREREQFUNC eyni zəif is_global_address yoxlamasını faktiki bağlantı ünvanına tətbiq etməzdən əvvəl curl host adlarını həll edir, buna görə də keçid formalı AAAA nəticəsi daxili loopback, şəxsi, CGNAT və ya link-local IPv4 ünvanında başa çatsa belə, buna icazə verilə bilər. Eksploytasiya üçün pyLoad hostunun müvafiq keçid mexanizmini marşrutlaşdırması tələb olunur, bura təsirlənmiş Python 3.9-dan 3.11-ə qədər olan deployment-lərdə 6to4 və ya NAT64 şlüzü olan şəbəkələrdə NAT64 daxildir. Uğurlu eksploytasiya daxili şəbəkə kəşfiyyatını, zamanlama əsaslı təsdiqi, məhdud xidmət pozuntusunu və ya paketlənmiş ünvan marşrutlaşdırıla bildiyi hallarda bulud metadata sızmasını mümkün edə bilər. Bu problem 0.5.0b3.dev101 versiyasında düzəldilmişdir.