CVE-2026-45348 in pyLoad
Resumen
por VulDB • 2026-06-02
pyLoad es un gestor de descargas gratuito y de código abierto escrito en Python. Antes de la versión 0.5.0b3.dev100, la plantilla packages.js en src/pyload/webui/app/themes/modern/templates/js/packages.js:172 interpola una URL de enlace almacenada en una plantilla literal (template literal) dentro de HTML entre comillas simples y luego escribe el resultado en el DOM mediante $(div).html(html). No se realiza ningún escape entre el valor de la API y innerHTML. Un atacante (Alice) que puede enviar un enlace de paquete introduce una comilla simple seguida de un controlador de eventos en la URL, sale del atributo y ejecuta JavaScript en el navegador de cada operador que abre la vista de descargas. El tema no establece una Política de Seguridad de Contenido (Content Security Policy) que restrinja scripts en línea o controladores de eventos. Esta vulnerabilidad se corrige en la versión 0.5.0b3.dev100.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.