CVE-2026-54254 in Cyberdrop-DL
Riassunto
di VulDB • 15/09/2026
Cyberdrop-DL è un downloader asincrono per il download di massa da più host di file. Dalla versione 8.5.0 alla 9.14.0, il crawler Pixeldrain utilizza la corrispondenza dei substring dell'host invece di richiedere che l'host inserito sia esattamente uno tra quelli elencati in SUPPORTED_DOMAINS, e successivamente riutilizza tale input per le richieste API. Quando è configurata una chiave API Pixeldrain, l'elaborazione di un URL manipolato proveniente da un host lookalike controllato dall'attaccante fa sì che cyberdrop_dl/crawlers/pixeldrain.py invii l'intestazione Authorization a quell'host. L'URL può essere introdotto tramite un sito di terze parti in grado di causare download per altri siti, consentendo all'attaccante di ottenere la chiave API Pixeldrain dell'utente. Questo problema è risolto nella versione 9.14.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.