CVE-2026-35187 in pyLoad
Riassunto
di VulDB • 29/06/2026
pyLoad è un gestore di download gratuito e open-source scritto in Python. Nelle versioni 0.5.0b3.dev96 e precedenti, la funzione API parse_urls in src/pyload/core/api/__init__.py recupera URL arbitrari lato server tramite get_url(url) (pycurl) senza alcuna convalida dell'URL, restrizione del protocollo o blacklist degli IP. Un utente autenticato con autorizzazione ADD può effettuare richieste HTTP/HTTPS verso risorse di rete interne ed endpoint dei metadati cloud, leggere file locali tramite il protocollo file:// (pycurl legge il file lato server), interagire con servizi interni tramite i protocolli gopher:// e dict://, ed enumerare l'esistenza dei file mediante un oracle basato su errori (errore 37 rispetto a risposta vuota).
If you want to get best quality of vulnerability data, you may have to visit VulDB.