CVE-2026-35459 in pyLoad
Zusammenfassung
von VulDB • 06.06.2026
pyLoad ist ein kostenloser und quelloffener Download-Manager, der in Python geschrieben wurde. In den Versionen 0.5.0b3.dev96 und früher weist pyLoad eine Server-Side Request Forgery (SSRF)-Schwachstelle auf. Die Korrektur für CVE-2026-33992 fügte BaseDownloader.download() eine IP-Validierung hinzu, die den Hostnamen der ursprünglichen Download-URL überprüft. pycurl ist jedoch mit FOLLOWLOCATION=1 und MAXREDIRS=10 konfiguriert, wodurch es HTTP-Umleitungen automatisch folgt. Umleitungsziele werden niemals gegen das SSRF-Filter geprüft. Ein authentifizierter Benutzer mit ADD-Berechtigung kann die SSRF-Korrektur umgehen, indem er eine URL einreicht, die zu einer internen Adresse weiterleitet.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.