CVE-2026-48737

pyLoad, Python ile yazılmış ücretsiz ve açık kaynaklı bir indirme yöneticisidir. 0.5.0b3.dev101 sürümünden önce, src/pyload/core/utils/web/check.py içindeki is_global_address, 6to4 veya NAT64 IPv6 adreslerine gömülmüş IPv4 hedeflerini incelemeden Python'un global-address sınıflandırmasına dayanmaktadır. Düşük yetkili bir kullanıcı, parse_urls aracılığıyla çözümlenme öncesi is_global_host korumasına bir IPv6 literal değeri gönderebilir. host_to_ip AF_INET ile sabitlendiği için bu koruma, bir ana bilgisayar adının AAAA sonucunu değerlendirmez. Ayrıca, src/pyload/core/network/http/http_request.py içindeki pycurl PREREQFUNC gerçek bağlantı adresine aynı savunmasız is_global_address kontrolünü uygulamadan önce curl ana bilgisayar adlarını çözer; bu nedenle, gömülü bir loopback, özel, CGNAT veya link-local IPv4 adresinde sonlansa bile geçiş formu AAAA sonucu izin verilebilir. İstismar edilmesi, etkilenen Python 3.9 ile 3.11 dağıtımlarında 6to4 veya NAT64 ağ geçidine sahip bir ağda NAT64 dahil olmak üzere ilgili geçiş mekanizmasını pyLoad ana bilgisayarının yönlendirmesini gerektirir. Başarılı istismar; sarmalanmış adresin yönlendirilebilir olduğu durumlarda dahili ağ keşfi, zamanlama tabanlı onaylama, sınırlı hizmet kesintisi veya bulut meta veri ifşasını mümkün kılabilir. Bu sorun 0.5.0b3.dev101 sürümünde düzeltilmiştir.