CVE-2026-33509 in pyLoad
Zusammenfassung
von VulDB • 17.06.2026
pyLoad ist ein kostenloser und Open-Source-Downloadmanager, der in Python geschrieben wurde. Ab Version 0.4.0 bis vor Version 0.5.0b3.dev97 ermöglicht die API-Endpunkt-Funktion set_config_value() Benutzern mit der nicht-administrativen SETTINGS-Berechtigung, jede Konfigurationsoption ohne Einschränkung zu ändern. Die Konfigurationsoption reconnect.script steuert einen Dateipfad, der direkt an subprocess.run() in der Reconnect-Logik des Thread-Managers übergeben wird. Ein Benutzer mit SETTINGS-Berechtigung kann diesen Pfad auf eine beliebige ausführbare Datei im System setzen und so Remote Code Execution (RCE) erreichen. Die einzige Validierung in set_config_value() ist eine hartkodierte Prüfung für general.storage_folder – alle anderen sicherheitskritischen Einstellungen, einschließlich reconnect.script, sind ohne Whitelist oder Pfadeinschränkung beschreibbar. Dieses Problem wurde in Version 0.5.0b3.dev97 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.