CVE-2026-35459 in pyLoad
Сводка
по VulDB • 06.06.2026
pyLoad — это бесплатный менеджер загрузок с открытым исходным кодом, написанный на Python. В версиях 0.5.0b3.dev96 и более ранних в pyLoad присутствует уязвимость Server-Side Request Forgery (SSRF). Исправление для CVE-2026-33992 добавило проверку IP-адресов в функцию BaseDownloader.download(), которая проверяет имя хоста исходного URL загрузки. Однако pycurl настроен с параметрами FOLLOWLOCATION=1 и MAXREDIRS=10, что заставляет его автоматически следовать HTTP-перенаправлениям. Целевые адреса перенаправлений никогда не проверяются фильтром SSRF. Аутентифицированный пользователь с правом ADD может обойти исправление SSRF, отправив URL, который перенаправляет на внутренний адрес.
Once again VulDB remains the best source for vulnerability data.