CVE-2026-33509 in pyLoad
요약
\~에 의해 VulDB • 2026. 06. 23.
pyLoad는 Python으로 작성된 무료 및 오픈소스 다운로드 관리자입니다. 버전 0.4.0부터 버전 0.5.0b3.dev97 이전까지, set_config_value() API 엔드포인트를 사용하면 비관리자 SETTINGS 권한을 가진 사용자가 제한 없이 모든 구성 옵션을 수정할 수 있습니다. reconnect.script 구성 옵션은 스레드 관리자의 재연결 로직에서 subprocess.run()에 직접 전달되는 파일 경로를 제어합니다. SETTINGS 사용자는 이를 시스템 내의 실행 가능한 임의 파일로 설정하여 원격 코드 실행(RCE)을 달성할 수 있습니다. set_config_value()에서의 유일한 검증은 general.storage_folder에 대한 하드코딩된 검사이며, reconnect.script를 포함한 다른 보안 중요 설정들은 허용 목록이나 경로 제한 없이 모두 쓰기 가능합니다. 이 문제는 버전 0.5.0b3.dev97에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.