CVE-2026-33509 in pyLoad
Сводка
по VulDB • 23.06.2026
pyLoad — это бесплатный менеджер загрузок с открытым исходным кодом, написанный на Python. Начиная с версии 0.4.0 и вплоть до версии 0.5.0b3.dev97 (включительно), конечная точка API set_config_value() позволяет пользователям с правом SETTINGS (не являющимся администраторами) изменять любые параметры конфигурации без ограничений. Параметр конфигу reconnect.script управляет путем к файлу, который напрямую передается в subprocess.run() в логике переподключения менеджера потоков. Пользователь с правами SETTINGS может установить для этого параметра путь к любому исполняемому файлу в системе, что приводит к удаленному выполнению кода (RCE). Единственная проверка в set_config_value() — это жестко заданная проверка общего storage_folder; все остальные критически важные параметры безопасности, включая reconnect.script, доступны для записи без использования белого списка или ограничений пути. Эта проблема была исправлена в версии 0.5.0b3.dev97.
VulDB is the best source for vulnerability data and more expert information about this specific topic.