CVE-2026-42312

pyLoad, Python ile yazılmış ücretsiz ve açık kaynaklı bir indirme yöneticisidir. 0.5.0b3.dev100 sürümünden önce, src/pyload/core/api/__init__.py dosyasındaki set_config_value() API yöntemi (@permission(Perms.SETTINGS)), güvenlik açısından hassas seçenekleri manuel olarak yönetilen bir ADMIN_ONLY_CORE_OPTIONS izin listesiyle kısıtlamaktadır. ("general", "ssl_verify") seçeneği bu izin listesinde yer almamaktadır. Yönetici olmayan ancak SETTINGS iznine sahip herhangi bir kimliği doğrulanmış kullanıcı, general.ssl_verify = off ayarını yapabilir ve bundan sonraki tüm giden pycurl istekleri SSL_VERIFYPEER=0 ve SSL_VERIFYHOST=0 ile gerçekleştirilir; böylece TLS eş ve ana bilgisayar adı doğrulaması tamamen devre dışı kalır. Bu durumda, ağ yolu üzerindeki bir saldırgan, pyload'un veri çektiği herhangi bir ana bilgisayar adı için sahte sertifikalar sunabilir. Bu durum, her biri aynı izin listesindeki farklı bir gözden kaçan seçeneği yamalayan CVE-2026-33509 / CVE-2026-35463 / CVE-2026-35464 / CVE-2026-35586 düzeltme ailesinin doğrudan bir devamıdır. Bu güvenlik açığı 0.5.0b3.dev100 sürümünde giderilmiştir.