CVE-2026-35464
Açıklama
pyLoad, Python ile yazılmış ücretsiz ve açık kaynaklı bir indirme yöneticisidir. CVE-2026-33509 için yayınlanan düzeltme, yönetici olmayan kullanıcıların güvenlik açısından kritik yapılandırma seçeneklerini değiştirmesini engellemek amacıyla bir ADMIN_ONLY_OPTIONS kümesi eklemiştir. storage_folder seçeneği bu kümede yer almamaktadır ve Flask oturum dizini hem PKGDIR hem de userdir dışında olduğu için mevcut yol kısıtlamasını aşmaktadır. SETTINGS ve ADD izinlerine sahip bir kullanıcı, indirmeleri Flask dosya sistemi oturum deposuna yönlendirebilir, tahmin edilebilir bir oturum dosyası olarak kötü amaçlı bir pickle yükü yerleştirebilir ve ilgili oturum çereziyle herhangi bir HTTP isteği geldiğinde rastgele kod çalıştırmayı tetikleyebilir. Bu güvenlik açığı c4cf995a2803bdbe388addfc2b0f323277efc0e1 commit'i ile giderilmiştir.
Nasıl düzeltilir
- pyload pyload2026-04-02 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pyload pyload | v < 2026-04-02 | 2026-04-02 |
| pyload-ngPyPI | v ≤ 0.5.0b3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.