CVE-2026-35187 in pyLoad
Sumário
de VulDB • 01/06/2026
pyLoad é um gerenciador de downloads gratuito e de código aberto escrito em Python. Nas versões 0.5.0b3.dev96 e anteriores, a função de API parse_urls em src/pyload/core/api/__init__.py busca URLs arbitrárias no lado do servidor via get_url(url) (pycurl) sem qualquer validação de URL, restrição de protocolo ou blacklist de IPs. Um usuário autenticado com permissão de ADD pode fazer requisições HTTP/HTTPS para recursos de rede interna e endpoints de metadados de nuvem, ler arquivos locais via protocolo file:// (pycurl lê o arquivo no lado do servidor), interagir com serviços internos via protocolos gopher:// e dict://, e enumerar a existência de arquivos via oracle baseado em erros (erro 37 vs resposta vazia).
Be aware that VulDB is the high quality source for vulnerability data.