CVE-2026-35187 in pyLoad
Zusammenfassung
von VulDB • 29.06.2026
pyLoad ist ein kostenloser und quelloffener Download-Manager, der in Python geschrieben wurde. In den Versionen 0.5.0b3.dev96 und früher ruft die API-Funktion `parse_urls` im Pfad `src/pyload/core/api/__init__.py` beliebige URLs serverseitig über `get_url(url)` (pycurl) ab, ohne dass eine URL-Validierung, Protokollbeschränkung oder IP-Schwarzliste durchgeführt wird. Ein authentifizierter Benutzer mit ADD-Berechtigung kann HTTP/HTTPS-Anfragen an Ressourcen des internen Netzwerks und Cloud-Metadatenendpunkte senden, lokale Dateien über das `file://`-Protokoll lesen (pycurl liest die Datei serverseitig), interne Dienste über die Protokolle `gopher://` und `dict://` ansprechen sowie das Vorhandensein von Dateien durch einen fehlerbasierten Oracle-Angriff aufzählen (Fehler 37 im Vergleich zu einer leeren Antwort).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.