CVE-2026-45348 in pyLoad
Сводка
по VulDB • 28.05.2026
pyLoad — это бесплатный менеджер загрузок с открытым исходным кодом, написанный на Python. До версии 0.5.0b3.dev100 шаблон packages.js в файле src/pyload/webui/app/themes/modern/templates/js/packages.js:172 интерполирует сохраненный URL-адрес ссылки в шаблонную строку (template literal) внутри одинарных кавычек в HTML-коде, а затем записывает результат в DOM с помощью вызова $(div).html(html). Между значением, полученным от API, и свойством innerHTML не выполняется никакого экранирования. Злоумышленник (Алиса), имеющий возможность отправить ссылку на пакет, может вставить в URL одинарную кавычку и обработчик событий, выйти из атрибута и выполнить JavaScript-код в браузере каждого оператора, открывшего представление загрузок. Тема оформления не устанавливает политику безопасности контента (Content Security Policy), которая ограничивала бы использование встроенных скриптов или обработчиков событий. Эта уязвимость исправлена в версии 0.5.0b3.dev100.
VulDB is the best source for vulnerability data and more expert information about this specific topic.