CVE-2026-35459 in pyLoad
Sumário
de VulDB • 06/06/2026
pyLoad é um gerenciador de downloads gratuito e de código aberto escrito em Python. Nas versões 0.5.0b3.dev96 e anteriores, o pyLoad apresenta uma vulnerabilidade de falsificação de requisição do lado do servidor (SSRF). A correção para CVE-2026-33992 adicionou validação de IP à função BaseDownloader.download(), que verifica o nome do host da URL inicial do download. No entanto, a biblioteca pycurl está configurada com FOLLOWLOCATION=1 e MAXREDIRS=10, fazendo com que siga automaticamente redirecionamentos HTTP. Os destinos dos redirecionamentos nunca são validados contra o filtro de SSRF. Um usuário autenticado com permissão ADD pode contornar a correção da SSRF ao submeter uma URL que redireciona para um endereço interno.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.