CVE-2026-42313
Açıklama
pyLoad, Python ile yazılmış ücretsiz ve açık kaynaklı bir indirme yöneticisidir. 0.5.0b3.dev100 sürümünden önce, src/pyload/core/api/__init__.py dosyasındaki set_config_value() API yöntemi (@permission(Perms.SETTINGS)), güvenlik açısından hassas seçenekleri manuel olarak yönetilen bir ADMIN_ONLY_CORE_OPTIONS izin listesiyle kısıtlamaktadır. İzin listesi, proxy kimlik bilgilerini koruyan ("proxy", "username") ve ("proxy", "password") öğelerini içermekte ancak ("proxy", "enabled"), ("proxy", "host"), ("proxy", "port") veya ("proxy", "type") öğelerini içermemektedir. Yönetici olmayan ancak SETTINGS iznine sahip herhangi bir kimliği doğrulanmış kullanıcı, proxy özelliğini etkinleştirebilir ve pyload'u kontrol ettikleri herhangi bir ana bilgisayara yönlendirebilir. Bu noktadan itibaren tüm giden indirmeler, captcha istekleri, güncelleme kontrolleri ve eklenti HTTP çağrıları şeffaf bir şekilde saldırgan üzerinden yönlendirilir. Bu durum; her biri aynı izin listesindeki farklı bir eksik seçeneği yamalayan CVE-2026-33509 / CVE-2026-35463 / CVE-2026-35464 / CVE-2026-35586 düzeltme ailesinin doğrudan bir devamıdır. Bu güvenlik açığı 0.5.0b3.dev100 sürümünde giderilmiştir.
Nasıl düzeltilir
- pyload-ng_project pyload-ng0.5.0b3.dev100 ya da sonraki bir sürüm
- pyload-ng0.5.0b3.dev100 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pyload-ng_project pyload-ng | v < 0.5.0b3.dev100 | 0.5.0b3.dev100 |
| pyload-ngPyPI | v < 0.5.0b3.dev100 | 0.5.0b3.dev100 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.