製品・ソフトウェアに関する情報
Vulnerability Search
pyLoadにおける複数の脆弱性
Title pyLoadにおける複数の脆弱性
Summary

pyLoadはPythonで書かれた無料のオープンソースのダウンロードマネージャです。管理者以外のユーザーがセキュリティに重要な設定オプションを変更できないように設定されたADMIN_ONLY_OPTIONSにstorage_folderオプションが含まれていません。また、FlaskセッションディレクトリがPKGDIRおよびuserdirの両方の外側にあるため、既存のパス制限を回避できます。SETTINGSおよびADD権限を持つユーザーは、ダウンロード先をFlaskのファイルシステムセッションストアにリダイレクトして、予測可能なセッションファイルとして悪意のあるpickleペイロードを仕込みます。これにより、対応するセッションクッキーを含む任意のHTTPリクエストが到着した際に任意のコードを実行できるようになります。この脆弱性はコミットc4cf995a2803bdbe388addfc2b0f323277efc0e1で修正されました。

Possible impacts 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date April 7, 2026, midnight
Registration Date April 24, 2026, 11:35 a.m.
Last Update April 24, 2026, 11:35 a.m.
CVSS3.0 : 重要
Score 7.5
Vector CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Affected System
pyLoad
pyLoad 2026-04-02 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年04月24日]
  掲載		 April 24, 2026, 11:35 a.m.
NVD Vulnerability Information
CVE-2026-35464
Summary

pyLoad is a free and open-source download manager written in Python. The fix for CVE-2026-33509 added an ADMIN_ONLY_OPTIONS set to block non-admin users from modifying security-critical config options. The storage_folder option is not in this set and passes the existing path restriction because the Flask session directory is outside both PKGDIR and userdir. A user with SETTINGS and ADD permissions can redirect downloads to the Flask filesystem session store, plant a malicious pickle payload as a predictable session file, and trigger arbitrary code execution when any HTTP request arrives with the corresponding session cookie. This vulnerability is fixed with commit c4cf995a2803bdbe388addfc2b0f323277efc0e1.

Publication Date April 8, 2026, 12:17 a.m.
Registration Date April 15, 2026, 11:28 a.m.
Last Update April 24, 2026, 12:13 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:pyload:pyload:*:*:*:*:*:*:*:* 2026-04-02
Related information, measures and tools
Common Vulnerabilities List