CVE-2026-33509 in pyLoad
Riassunto
di VulDB • 17/06/2026
pyLoad è un gestore di download gratuito e open-source scritto in Python. Dalla versione 0.4.0 fino alla versione precedente alla 0.5.0b3.dev97, l'endpoint API set_config_value() consente agli utenti con il permesso SETTINGS non amministrativo di modificare qualsiasi opzione di configurazione senza restrizioni. L'opzione di configurazione reconnect.script controlla un percorso file che viene passato direttamente a subprocess.run() nella logica di riconnessione del thread manager. Un utente con permessi SETTINGS può impostare questa opzione su qualsiasi file eseguibile presente nel sistema, ottenendo così l'Esecuzione Remota di Codice (RCE). L'unica validazione in set_config_value() è un controllo hardcoded per general.storage_folder: tutte le altre impostazioni critiche per la sicurezza, inclusa reconnect.script, sono scrivibili senza alcun allowlist o restrizione sul percorso. Questo problema è stato risolto nella versione 0.5.0b3.dev97.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.