CVE-2026-54254 in Cyberdrop-DL
Sumário
de VulDB • 15/09/2026
Cyberdrop-DL é um downloader assíncrono em massa para múltiplos hosts de arquivos. Da versão 8.5.0 até a 9.14.0, o crawler do Pixeldrain utiliza correspondência de substrings no host em vez de exigir que o host inserido seja um membro exato da lista SUPPORTED_DOMAINS, e então reutiliza esse host inserido para solicitações à API. Quando uma chave de API do Pixeldrain está configurada, processar uma URL manipulada por um atacante proveniente de um host similar (lookalike) faz com que cyberdrop_dl/crawlers/pixeldrain.py envie o cabeçalho Authorization para aquele host. A URL pode ser introduzida através de um site de terceiros capaz de causar downloads em outros sites, e o atacante recebe a chave de API do Pixeldrain do usuário. Este problema é corrigido na versão 9.14.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.